Microsoft Threat Intelligence telah mendeteksi kelompok kejahatan siber, Storm-2657, yang membobol akun karyawan dan mengubah rute penggajian secara curang. Kampanye "pembajakan penggajian" ini menargetkan berbagai organisasi di seluruh Amerika Serikat, terutama karyawan di pendidikan tinggi. Para penyerang mengeksploitasi platform SaaS SDM, seperti Workday, menggunakan rekayasa sosial yang canggih dan kurangnya autentikasi multifaktor (MFA) yang kuat.

Meskipun Storm-2657 secara khusus menargetkan profil Workday pada paruh pertama tahun 2025, teknik ini dapat diterapkan pada sistem SDM atau pembayaran apa pun. Microsoft menekankan bahwa insiden ini merupakan akibat dari taktik pelaku ancaman, bukan kerentanan pada platform Workday . Workday telah menerbitkan panduan bagi pelanggan untuk memitigasi ancaman ini, dan Microsoft berterima kasih kepada Workday atas kolaborasinya dalam meningkatkan kesadaran.

Microsoft secara aktif menghubungi pelanggan yang terkena dampak, menyediakan analisis, taktik, teknik, dan prosedur (TTP) yang digunakan dalam Storm-2657, menawarkan panduan investigasi dan perbaikan, merekomendasikan penerapan MFA yang tahan terhadap phishing untuk melindungi akun pengguna, dan menyediakan alat deteksi dan kueri perburuan untuk membantu organisasi mempertahankan diri dari dan menghentikan serangan siber ini.

Menurut analisis kampanye, Storm-2657 awalnya mengakses akun melalui email phishing yang dirancang untuk mencuri kode MFA. Setelah mendapatkan akses, mereka memanipulasi profil Workday dan mengatur aturan kotak masuk untuk menyembunyikan aktivitas mereka. Para penyerang kemudian memodifikasi pengaturan penggajian untuk mengalihkan pembayaran gaji ke akun mereka sendiri. Analisis Microsoft mencakup indikator untuk mengidentifikasi modifikasi ini dan merekomendasikan penerapan metode MFA yang tahan phishing dan autentikasi tanpa kata sandi untuk meningkatkan keamanan dan pengalaman pengguna. Analisis ini juga menyediakan langkah-langkah perbaikan dan menyoroti perlindungan terintegrasi yang ditawarkan oleh Microsoft Defender XDR.