Detectie van infiltrerende IT-medewerkers

Introductie

Microsoft waarschuwt organisaties voor een groeiende dreiging: valse remote IT-medewerkers die gestolen of gefabriceerde identiteiten gebruiken om te worden aangenomen en legitieme toegang te krijgen tot bedrijfssystemen. Voor securityteams die Microsoft 365, Defender en SaaS-integraties beheren, is dit relevant omdat de aanval begint in normale HR-processen en snel kan uitgroeien tot een incident rond identiteit en gegevensbeveiliging.

Wat is nieuw

In de nieuwste richtlijnen van Microsoft wordt uitgelegd hoe defenders deze activiteit gedurende de volledige wervingscyclus kunnen detecteren, waarbij Jasper Sleet wordt genoemd als bekend voorbeeld van deze tactiek.

Detectie vóór de wervingsfase in Workday

Microsoft constateerde verdacht gebruik van Workday Recruiting Web Service-endpoints die via externe careersites worden blootgesteld. Belangrijke gedragingen zijn onder meer:

• Herhaalde toegang tot hrrecruiting/* API-endpoints
• Aanroepen naar API’s voor sollicitaties, cv’s en vragenlijsten
• Meerdere externe accounts met hetzelfde terugkerende toegangspatroon
• Activiteit afkomstig van bekende infrastructuur van dreigingsactoren

Met de Microsoft Defender for Cloud Apps Workday connector kunnen organisaties deze API-calls volgen, externe accounts identificeren en activiteit vergelijken met threat intelligence.

Onderzoek tijdens de wervingsfase

Tijdens interviews en documentverwerking moeten defenders aanvullende signalen correleren, zoals:

• Verdachte e-mailuitwisselingen met hiring teams
• Externe Teams-berichten vanaf risicovolle IP-adressen of accounts
• Activiteit in Zoom of Cisco Webex via Defender for Cloud Apps-connectors
• DocuSign-activiteit rond offer letters uit verdachte bronnen

Hiermee kunnen security- en HR-teams frauduleuze kandidaten eerder in het proces markeren.

Monitoring van identiteit en SaaS na indiensttreding

Zodra iemand is aangenomen, neemt het risico toe omdat de actor een legitiem account krijgt. Microsoft zag gevallen waarin Workday-aanmeldingen van nieuwe medewerkers en payroll-wijzigingen afkomstig waren van bekende kwaadaardige infrastructuur. Na onboarding moeten defenders letten op:

• Impossible travel-waarschuwingen voor accounts van nieuwe medewerkers
• Toegang via anonieme proxies of ongebruikelijke locaties
• Zoek- en downloadactiviteit in Teams, SharePoint, OneDrive en Exchange Online
• Ongebruikelijke patronen van gegevenstoegang in de eerste weken of maanden van het dienstverband

Waarom dit belangrijk is voor IT-beheerders

Dit is niet alleen een HR-kwestie. Een frauduleuze medewerker kan veel traditionele perimeterverdedigingen omzeilen, omdat deze geldige credentials en goedgekeurde toegang ontvangt. Securityteams hebben zichtbaarheid nodig in HR-systemen, Entra ID, Microsoft 365 en collaboration tools van derden om dit gedrag vroegtijdig te detecteren.

Aanbevolen vervolgstappen

• Controleer Workday API-telemetrie op herhaalde hrrecruiting/*-activiteit
• Schakel Defender for Cloud Apps-connectors in en valideer deze voor Workday, Zoom, Webex en DocuSign waar van toepassing
• Jaag op verdachte communicatie met kandidaten en externe accounts
• Monitor identiteiten van nieuwe medewerkers nauwgezet op impossible travel, proxygebruik en abnormale Microsoft 365-toegang
• Coördineer HR- en securityonderzoeken bij verdachte onboardinggebeurtenissen

Organisaties met remote hiring-programma’s moeten recruitmentworkflows behandelen als onderdeel van hun identity attack surface en deze opnemen in threat hunting- en detectiestrategieën.