Hamis IT-s hívások: legalább négy kanadai ügyvédi irodába jutottak be

A hívás hétköznapinak tűnt. Lejárt jelszó vagy sürgős szoftverfrissítés, a vonal másik végén pedig egy segítőkész „IT-s”. A Globe and Mail szerint a hívások gyakran Microsoft Teamsen érkeztek. A hívó belső IT-s munkatársnak tűnt. Ezzel a módszerrel legalább négy nagy kanadai ügyvédi irodába jutottak be. A tanulság egy magyar KKV-ra is áll: a sima többlépcsős azonosítás (MFA) ez ellen nem elég.

Mi történt a kanadai irodáknál?

A Globe and Mail négy feltört irodát nevez meg. Ezek: McCarthy Tétrault, Davies Ward Phillips & Vineberg, Bennett Jones és Borden Ladner Gervais (BLG). A lap szerint legalább hét munkatárs adott hozzáférést a támadóknak. Ezt az irodák is megerősítették.

A McCarthy Tétrault közleménye szerint egy jogosulatlan harmadik fél fájlokhoz fért hozzá. Az érintetteket 2026. október 25-én kereste meg. A vizsgálat nem talált nyomát további érintett fióknak, oldalirányú mozgásnak vagy tartós megtelepedésnek. A fájlok számát az iroda nem kommentálta. A lapnak egy névtelen, az ügyre közvetlen rálátású forrás 31 000 ellopott fájlról beszélt.

A Bennett Jones közölte: a dokumentumkezelő és a könyvelési rendszerét nem érte behatolás (Globe and Mail). A BLG a Mandiant nevű céget kérte fel a vizsgálatra (BLG). A Globe szerint mindegyik feltört iroda értesítette a rendőrséget, és megkereste az érintett ügyfeleket. A támadók a Stikeman Elliottot és a Gowling WLG-t is célba vették, sikertelenül (Globe and Mail).

Hogyan játszották ki az MFA-t?

A kanadai kiberbiztonsági központ (Canadian Centre for Cyber Security, CCCS) 2026. október 28-án riasztást adott ki. A riasztás szövege sem irodát, sem támadócsoportot nem nevez meg. A Globe and Mail az ügyvédi betörésekről szóló cikkében idézte.

A CCCS szerint a kampány folyamatban van. A pénzügyi és jogi szervezeteket júliustól célozza egyre inkább, októberben főleg a jogi szektort. A módszer a riasztás alapján így épül fel:

1. A hívás. A támadó belső IT-snak adja ki magát. Sürgős passkey-átállásra, MFA-regisztrációra vagy jelszócserére hivatkozik. Mobilon, irodai vonalon vagy Teamsen hív, néha a valódi helpdesk számát hamisítja.
2. A belépőoldal. A munkatárs az iroda arculatát utánzó oldalra kerül. A cím gyakran egy általános domain aldomainje, benne az iroda nevével.
3. A közvetítés. Az oldal a jelszót és az MFA-választ valós időben továbbítja a valódi Microsoft-belépéshez. Ez az úgynevezett adversary-in-the-middle (AiTM) támadás, vagyis a támadó a két fél közé ül. A végén a támadó kezében ott a bejelentkezett munkamenet.
4. A berendezkedés. A CCCS szerint a támadók saját MFA-eszközt regisztrálnak. Törlik a biztonsági értesítő leveleket. Szkriptekkel és a Microsoft Graphon keresztül töltenek le adatot a SharePointból és a OneDrive-ból. Az adatlopás után zsarolási követelést küldenek.

A CCCS szerint a támadók gyakran cserélik a csalidomaineket. Emiatt a tiltólisták keveset érnek. Ha a munkatárs független ellenőrzéssel próbálkozik, a hívó néha leteszi a telefont (CCCS).

A Loop következtetése: a hagyományos MFA itt nem tört el. A munkatárs maga hagyta jóvá a belépést, csak egy hamis oldalon. Ez ellen az olyan azonosítás véd, amely a valódi oldalhoz kötött.

Miért gond ez egy kis cégnél is?

Brent Arnold kiberbiztonsági ügyvéd a Globe-nak azt mondta: a nagy szervezetben nem ismer mindenki mindenkit. A hívás „Teamsen jön, hihetőnek látszik, és elég unalmasan hangzik ahhoz, hogy valószínűleg valódi legyen”.

A Loop következtetése: egy kis cégnél mindenki ismeri az IT-st. Gyakran viszont az IT egy külső partner, akinek a munkatársait senki sem ismeri. Itt a támadó ugyanúgy a „szolgáltató embere” lehet.

A Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete (NKI) 2026. augusztus 5-én írt egy másik, Teams-alapú kampányról. Ezt a Sophos dokumentálta, és a Chaos zsarolóvírussal zárult. A támadók IT-supportnak adták ki magukat, és távoli hozzáférést kértek. A célpontok között az NKI kiemelten említi a szellemi tulajdonjoggal foglalkozó ügyvédi irodákat. Egyes esetekben az első kapcsolattól a titkosításig 17 óránál kevesebb telt el. Az NKI javaslatai között szerepel a külső fiókoktól érkező Teams-chat és hívás korlátozása, engedélyezőlistával.

Az ügyvédi tevékenységről szóló törvény 9. §-a szerint minden adat ügyvédi titok, amelyről az ügyvéd munkája során tudomást szerez. A titoktartás az iratokra és más adathordozókra is kiterjed. Ha személyes adat érintett, az adatkezelőnek a GDPR 33. cikke szerint be kell jelentenie az incidenst a hatóságnak. Ezt indokolatlan késedelem nélkül kell megtennie, ha lehetséges, legkésőbb 72 órával azután, hogy tudomást szerzett róla. Magyarországon ez a NAIH. Kivétel, ha az incidens valószínűleg nem jár kockázattal az érintettekre. A kiberbiztonsági törvény hatálya alá eső cégnek a súlyos incidenst 24 órán belül a Nemzetbiztonsági Szakszolgálatnak is be kell jelentenie.

Mit állítson be egy Microsoft 365-ös cég?

A lépések a CCCS javaslatait követik, a beállítások a Microsoft Learn leírásait.

1. Teams külső hozzáférés: engedélyezőlista. A Teams alapbeállítása minden külső domaint enged. A Teams felügyeleti központjában választható az „Allow only specific external domains”. Ekkor a külső hozzáférés csak a listán lévő domainekkel működik, minden más tiltott. Ugyanitt kikapcsolható a szervezethez nem tartozó, Microsoft-fiókos Teams-felhasználókkal folytatott chat.

2. Adathalászatnak ellenálló MFA. A feltételes hozzáférés (Conditional Access) beépített „Phishing-resistant MFA” hitelesítési erőssége ezeket engedi. Windows Hello for Business vagy platformhitelesítő, FIDO2 biztonsági kulcs, tanúsítványalapú hitelesítés. A Microsoft szerint ezeknél a módszer és a belépési felület között közvetlen kapcsolat kell. A feltételes hozzáféréshez Microsoft Entra ID P1 licenc kell. Az ilyen MFA bevezetését a CCCS különösen a kiemelt jogosultságú és a magas kockázatú felhasználóknál javasolja.

3. Az MFA-regisztráció védelme. A támadók saját MFA-eszközt vesznek fel. A „Register security information” felhasználói műveletre külön feltételes hozzáférési szabály állítható. Új munkatársnál és elveszett eszköznél ideiglenes hozzáférési kód (Temporary Access Pass) adható. Alapértelmezett érvényessége 1 óra.

4. Felügyelt eszköz és tokenvédelem. A CCCS felügyelt eszközhöz kötött belépést javasol. Erre a Microsoftnak kész szabálymintája van, az Intune megfelelőségi szabályai alapján. A Token Protection csak eszközhöz kötött munkamenetet fogad el. Natív alkalmazásokban az Exchange Online, a SharePoint Online és a Teams esetén működik. A lopott munkamenetről a Loop 2026. október 26-án külön cikket közölt.

5. Helpdesk-rend írásban. Rögzítse, hogy az IT soha nem kér telefonon MFA-, passkey- vagy jelszócserét. Gyanús hívásnál a munkatárs tegye le, és hívja vissza az ismert számot. A CCCS szerint a hívószám nem bizonyít semmit. Legyen egy egyszerű bejelentési csatorna is a gyanús hívásokra.

6. Ha megtörtént. A Microsoft Entra felügyeleti központjában a fiók letiltható. A felhasználó lapján a „Revoke sessions” visszavonja a frissítő tokeneket. A CCCS a jelszavak cseréjét és a jogosulatlan MFA-eszközök törlését is javasolja. A postafiók- és fájltevékenységet is át kell nézni. A naplókat mentse el a vizsgálathoz.

⚠ Figyelem: a Microsoft szerint a kiadott hozzáférési token alapból 1 óráig él. A visszavonás után ezért nem minden alkalmazás zár ki azonnal.

Ördögügyvéd: mit nem old meg a beállítás?

A Teams-engedélyezőlista csak a Teams-hívást szűri. A CCCS leírásában a hívás mobilra és irodai vonalra is érkezik. Ott semmilyen Teams-beállítás nem segít, csak a helpdesk-rend.

A Loop következtetése: az adathalászatnak ellenálló MFA akkor véd, ha mindenkinél be van kapcsolva. A kanadai esetekben legalább hét munkatárs fiókja volt érintett, köztük a Bennett Jones két üzleti szolgáltatási munkatársa. Nem ismert, használtak-e ilyen MFA-t az irodák. Általános szabály: egy kivételként hagyott fiók is elég a belépéshez.

A Token Protection szűk körben működik. A Microsoft dokumentációja szerint böngészőben csak előnézetben érhető el. Ott is csak az Azure Resource Manageren keresztül, kiválasztott webalkalmazásokra. A Loop következtetése: a böngészőből használt Outlook és SharePoint így kívül esik rajta.

Három kérdés az IT-partnernek

1. Kik hívhatnak és chatelhetnek velünk Teamsen kívülről?
2. Kinél van már FIDO2-kulcs vagy Windows Hello, és kinél csak SMS vagy push?
3. Ki és hogyan regisztrálhat új MFA-eszközt, és kapunk-e erről riasztást?

A kanadai esetekben a belépést a munkatárs hagyta jóvá, egy hihető hívás után.

Gyakori kérdések

Melyik kanadai ügyvédi irodákat érintette a támadás?

A Globe and Mail szerint a McCarthy Tétraultot, a Davies-t, a Bennett Jonest és a BLG-t. A McCarthy Tétrault és a BLG saját közleményben erősítette meg az illetéktelen hozzáférést. A Bennett Jones a honlapján tett közzé tájékoztatást, ezt a Globe and Mail idézte.

Hány fájlt loptak el a McCarthytól?

Egy névtelen, az ügyre közvetlen rálátású forrás a Globe and Mailnek 31 000 ellopott fájlról beszélt. A McCarthy Tétrault a fájlok számát nem kommentálta.

Miért nem védett a kétlépcsős azonosítás?

A hamis oldal a jelszót és az MFA-választ valós időben továbbította a valódi belépéshez (CCCS). A FIDO2-kulcs és a Windows Hello for Business az adathalászatnak ellenálló módszerek közé tartozik (Microsoft Learn).

Mit állítsak be elsőként?

A Loop következtetése: a Teams külső hozzáférésénél az engedélyezőlistát és egy írásos helpdesk-rendet. Utána az adathalászatnak ellenálló MFA-t, a CCCS ajánlása szerint elsősorban a kiemelt jogosultságú felhasználóknak.