La coercizione dell'autenticazione SMB è una tattica che induce un sistema a iniziare una connessione SMB in uscita, spesso verso un host controllato da un attaccante. Quando il target tenta di autenticarsi, può inviare credenziali NTLM o altro materiale di autenticazione che talvolta può essere ritrasmesso, acquisito o abusato. Di solito l'attaccante non ha bisogno di una password; l'obiettivo è fare in modo che la vittima “chiami” per prima.
Questo è importante perché molti ambienti Windows fanno ancora affidamento su SMB per la condivisione di file, la gestione e le interazioni con stampanti o servizi. Se un account di servizio con privilegi può essere costretto, l'autenticazione risultante può essere utile per attacchi di relay, escalation dei privilegi o movimento laterale. Gli difensori riducono il rischio disabilitando l'esposizione SMB non necessaria, limitando i percorsi di rete in uscita, rafforzando gli account di servizio e monitorando connessioni SMB inattese verso host non attendibili. Nella risposta agli incidenti, un traffico SMB in uscita insolito è spesso un forte indizio che è in corso un'attività di coercizione o di relay.