UNC6671 dùng vishing để đánh cắp dữ liệu SaaS
"UNC6671 is conducting vishing-based social engineering campaigns against enterprise employees, often via personal mobile phones, to impersonate IT help desk staff and lure victims to adversary-in-the-middle phishing portals. The attacks capture credentials, MFA tokens, and active session cookies for SaaS and identity platforms such as Microsoft 365, Okta, and Entra ID, enabling session persistence, lateral access across cloud services, and data exfiltration; the primary mitigation is phishing-resistant MFA and stronger user verification processes."
Rủi ro cao do đánh cắp phiên đăng nhập, vượt qua MFA và mở rộng truy cập sang nhiều dịch vụ SaaS chỉ từ một tài khoản bị chiếm.
Có thể gây rò rỉ dữ liệu, gián đoạn vận hành và tăng chi phí ứng phó sự cố, đặc biệt với tổ chức phụ thuộc nhiều vào Microsoft 365 và Okta.
Một chiến dịch tấn công gần đây do UNC6671 thực hiện đang nhắm vào nhân viên doanh nghiệp trong các lĩnh vực như dịch vụ tài chính, private equity và dịch vụ chuyên nghiệp. Nhóm này thường giả danh bộ phận IT/help desk qua vishing và liên hệ trực tiếp tới điện thoại cá nhân của nạn nhân để tạo cảm giác khẩn cấp về các đợt migration bảo mật hoặc sự cố tài khoản.
Mục tiêu của chiến dịch là dẫn người dùng đến các cổng đăng nhập giả mạo theo mô hình adversary-in-the-middle (AitM), từ đó thu thập tên đăng nhập, MFA token và session cookie đang hoạt động. Dữ liệu bị chiếm đoạt có thể được dùng để duy trì phiên truy cập, mở rộng sang nhiều dịch vụ cloud và trích xuất dữ liệu từ các nền tảng như Microsoft 365, Okta và Entra ID.
Theo các nhà nghiên cứu, đây không phải là khai thác lỗ hổng sản phẩm mà là lạm dụng social engineering và quan hệ tin cậy giữa IdP với các dịch vụ SaaS. Khuyến nghị chính là triển khai phishing-resistant MFA, siết chặt quy trình xác minh người dùng, rà soát việc đăng ký thiết bị MFA mới và giám sát các hoạt động đặt lại mật khẩu bất thường.