Criminelen hebben via gekaapte Workday-accounts salaris van Amerikaans universiteitspersoneel gestolen, zo laat Microsoft weten. Workday biedt een HR- en salarisplatform waarmee medewerkers van organisaties allerlei informatie over hun salaris kunnen inzien. Ook is het mogelijk om opgegeven bankrekeningnummers te wijzigen.

Bij de aanval sturen de aanvallers eerst een phishingmail naar personeel van universiteiten. Microsoft zegt dat er bij een waargenomen aanvalscampagne zo'n zesduizend phishingmails naar 25 universiteiten zijn gestuurd. De links wijzen naar een man-in-the-middle phishingpagina waar de aanvallers zowel wachtwoorden en gebruikersnaam als MFA (multifactorauthenticatie)-codes stelen. Met deze gegevens kunnen de aanvallers op het Exchange Online-account van het slachtoffer inloggen. Microsoft stelt dat voor sommige gekaapte Exchange Online-accounts geen MFA was ingeschakeld.

Vervolgens wordt het Workday-account van de betreffende universiteitsmedewerker gekaapt. In sommige gevallen voegen de aanvallers hun eigen toestel toe voor MFA, om zo meer controle over het Workday-account te houden. Daarna maken de aanvallers binnen Exchange Online verschillende inbox rules aan, zodat alle e-mails afkomstig van Workday meteen worden verwijderd. Dit moet voorkomen dat het slachtoffer de aanval opmerkt.

Als laatste wijzigen de aanvallers het bankrekeningnummer van de medewerker binnen Workday en vullen een rekeningnummer in waar zij toegang toe hebben. Ook wordt het compromitteerde Exchange Online-account gebruikt voor het versturen van verdere phishingmails. Volgens Microsoft is het belangrijk dat accounts met phishingbestendige MFA-methodes worden beveiligd. Daarnaast stelt het techbedrijf dat de gebruikte aanvalsmethode ook op andere HR- en salarisplatforms werkt.