Chiến dịch lừa đảo nhắm vào lãnh đạo để đánh cắp dữ liệu Microsoft 365
"Threat actors are using fake IT/help desk vishing, adversary-in-the-middle Microsoft 365 login pages, and residential-proxy token replay to steal credentials and MFA approvals from executives and other high-value users. The campaign targets Microsoft 365 and other SaaS platforms, then performs SharePoint, Entra ID, OneDrive, Exchange, and Box discovery and bulk exfiltration before issuing extortion demands; recommended mitigations include Conditional Access, phishing-resistant MFA, and user/help desk awareness."
Rủi ro chiếm quyền tài khoản và rò rỉ dữ liệu SaaS ở mức cao; chiến dịch có thể vượt qua MFA nếu người dùng bị lừa phê duyệt. Cần chú ý token replay và AitM.
Có thể gây mất dữ liệu, gián đoạn truy cập và phát sinh yêu cầu tống tiền; tác động lớn hơn với các tổ chức có nhiều dữ liệu trong Microsoft 365. Ảnh hưởng trực tiếp đến vận hành và uy tín.
Các nhà nghiên cứu an ninh đã ghi nhận một chiến dịch vishing giả mạo bộ phận IT/help desk nhằm vào lãnh đạo cấp cao và người dùng có giá trị cao trong môi trường Microsoft 365 và các nền tảng SaaS khác. Kẻ tấn công gọi điện, dẫn nạn nhân tới các trang đăng nhập giả mạo theo kiểu adversary-in-the-middle (AitM) để thu thập thông tin xác thực và phê duyệt MFA, sau đó dùng token phiên để đăng nhập lại qua hạ tầng proxy dân cư.
Sau khi chiếm quyền truy cập, nhóm tấn công thực hiện khám phá SharePoint và Entra ID, đồng thời rà soát OneDrive, Exchange và Box trước khi trích xuất dữ liệu hàng loạt và gửi yêu cầu tống tiền. Hoạt động này được theo dõi với tên PREY-0058, có nhiều điểm tương đồng với các cụm bị gắn nhãn UNC6671 và Cinder/Pink; tuy nhiên, các nhãn này không nhất thiết phản ánh một tác nhân duy nhất.
Điểm đáng chú ý là chiến dịch này không triển khai mã độc trên endpoint và không dùng di chuyển ngang rõ rệt. Tổ chức nên áp dụng Conditional Access, triển khai MFA chống phishing, giới hạn phạm vi dữ liệu trong SharePoint, và đào tạo người dùng cùng help desk về rủi ro vishing. Đồng thời, cần giám sát dấu hiệu token replay, truy cập bất thường vào SharePoint và hoạt động thu thập hộp thư.