Storm‑2949 साइबर हमला: पासवर्ड रीसेट से शुरू होकर पूरे क्लाउड तक पहुंचा डेटा चोरी अभियान

एक बार जब किसी कर्मचारी—अक्सर IT स्टाफ या वरिष्ठ प्रबंधन—का अकाउंट हाथ लग गया, तो उसी पहचान का इस्तेमाल करके हमलावर Microsoft 365 और Azure के अन्य संसाधनों तक पहुंच बढ़ाते गए।

Self‑Service Password Reset (SSPR) की भूमिका

हमले की चेन में एक महत्वपूर्ण चरण था Microsoft Entra का Self‑Service Password Reset (SSPR)। यह एक वैध फीचर है जो उपयोगकर्ताओं को IT हेल्पडेस्क की मदद के बिना अपना पासवर्ड रीसेट करने की सुविधा देता है।

Storm‑2949 ने इसी प्रक्रिया का फायदा उठाया।

हमलावरों की रणनीति कुछ इस तरह थी:

• वे खुद को कंपनी के IT सपोर्ट या सुरक्षा टीम का सदस्य बताकर कर्मचारियों से संपर्क करते थे।
• कर्मचारियों से कहा जाता कि वे एक "सामान्य सुरक्षा सत्यापन" के लिए आए MFA प्रॉम्प्ट को स्वीकार कर लें।
• असल में यह प्रॉम्प्ट पासवर्ड रीसेट प्रक्रिया के दौरान उत्पन्न MFA अनुरोध होता था।

जैसे ही पीड़ित कर्मचारी ने प्रॉम्प्ट स्वीकार किया, हमलावर पासवर्ड रीसेट प्रक्रिया को पूरा कर सकते थे।

इसके बाद वे:

• यूज़र का पासवर्ड बदल देते थे
• मौजूदा ऑथेंटिकेशन तरीकों (फोन, ईमेल, ऑथेंटिकेटर) को हटा देते थे
• अपना नया ऑथेंटिकेशन डिवाइस रजिस्टर कर लेते थे

इस तरह असली उपयोगकर्ता अकाउंट से बाहर हो जाता था और हमलावर को MFA‑सक्षम स्थायी एक्सेस मिल जाता था।

एक अकाउंट से पूरे क्लाउड तक पहुंच

एक बार पहचान पर नियंत्रण मिल जाने के बाद Storm‑2949 ने संगठन के क्लाउड संसाधनों में आगे बढ़कर पहुंच बनाई।

क्योंकि कई मामलों में लक्ष्य उच्च‑अधिकार (high‑privilege) वाले अकाउंट थे, हमलावर कई सेवाओं तक पहुंच बना पाए।

इनमें शामिल थे:

• Microsoft 365 के डेटा — SharePoint और OneDrive फाइलें
• Azure में होस्ट किए गए प्रोडक्शन सिस्टम
• क्लाउड स्टोरेज और डेटाबेस
• Azure Key Vault में रखे संवेदनशील सीक्रेट्स

यह घटना एक महत्वपूर्ण सच्चाई दिखाती है: क्लाउड वातावरण में पहचान ही नियंत्रण का मुख्य बिंदु (control plane) होती है। यदि किसी शक्तिशाली पहचान पर कब्ज़ा हो जाए तो हमलावर बिना सॉफ्टवेयर कमजोरी का फायदा उठाए भी कई सिस्टम तक पहुंच सकते हैं।

Microsoft SMS‑आधारित ऑथेंटिकेशन क्यों खत्म कर रहा है

Storm‑2949 जैसे हमले यह दिखाते हैं कि कमजोर या आसानी से धोखा देकर हासिल किए जा सकने वाले ऑथेंटिकेशन तरीके कितने जोखिम भरे हो सकते हैं।

इसी कारण Microsoft ने घोषणा की है कि वह व्यक्तिगत Microsoft खातों में SMS‑आधारित लॉग‑इन और रिकवरी को धीरे‑धीरे बंद करेगा।

कंपनी के अनुसार SMS आधारित सुरक्षा कई कारणों से कमजोर है:

• SIM‑swap हमले, जिसमें किसी का फोन नंबर हमलावर के SIM में ट्रांसफर हो सकता है
• टेलीकॉम नेटवर्क में संदेशों का अवरोधन
• उपयोगकर्ताओं को OTP बताने के लिए धोखा देना

क्योंकि SMS कोड आसानी से फ़िशिंग के जरिए हासिल किए जा सकते हैं, Microsoft अब passkeys, authenticator apps और verified email जैसे अधिक सुरक्षित विकल्पों को बढ़ावा दे रहा है।

संगठनों के लिए Microsoft की सुरक्षा सलाह

Storm‑2949 जैसे हमलों से बचने के लिए Microsoft कई महत्वपूर्ण सुरक्षा उपाय सुझाता है।

1. Phishing‑resistant MFA अपनाएं

पासकी या हार्डवेयर‑आधारित ऑथेंटिकेशन जैसे तरीके सोशल इंजीनियरिंग से कम प्रभावित होते हैं और पारंपरिक OTP या SMS आधारित MFA से अधिक सुरक्षित माने जाते हैं।

2. Least‑Privilege एक्सेस लागू करें

Role‑Based Access Control (RBAC) का उपयोग करके कर्मचारियों को केवल उतनी ही अनुमति दी जानी चाहिए जितनी उनके काम के लिए आवश्यक हो। इससे किसी एक अकाउंट के हैक होने पर नुकसान सीमित रहता है।

3. पासवर्ड‑रीसेट प्रक्रियाओं को हाई‑रिस्क मानें

SSPR जैसी सुविधाएं उपयोगी हैं, लेकिन यदि उनकी निगरानी न की जाए तो वे हमले का रास्ता बन सकती हैं—खासकर उच्च‑अधिकार वाले अकाउंट्स के लिए।

4. पहचान और क्लाउड गतिविधि की निगरानी

संगठनों को निम्न गतिविधियों की लॉगिंग और मॉनिटरिंग करनी चाहिए:

• पहचान और लॉग‑इन घटनाएं
• पासवर्ड‑रीसेट गतिविधियां
• Microsoft 365 डेटा एक्सेस
• Azure प्रबंधन (management) ऑपरेशन्स

इससे सुरक्षा टीमें किसी संदिग्ध प्रशासनिक गतिविधि को जल्दी पकड़ सकती हैं।

बड़ा सबक: अब पहचान ही नया हमला‑क्षेत्र है

Storm‑2949 यह दिखाता है कि आधुनिक साइबर हमलों में फोकस तेजी से identity systems और account‑recovery workflows की ओर बढ़ रहा है।

यदि किसी संगठन की एक महत्वपूर्ण पहचान से समझौता हो जाए, तो वही पूरे क्लाउड इकोसिस्टम में प्रवेश का द्वार बन सकती है। इसलिए मजबूत ऑथेंटिकेशन, कम विशेषाधिकार और निरंतर निगरानी क्लाउड‑आधारित संगठनों के लिए बेहद जरूरी हो गए हैं।