Nyt twist på et gammelt trick: Vishing møder automatisering

En trusselsgruppe kendt som UNC6671 har fundet en måde at kombinere en gammeldags social engineering-metode med moderne automatisering, og resultatet er dyrt for de organisationer, der rammes. Ifølge rapporter om gruppens aktiviteter udgiver UNC6671 sig for at være intern it-support over telefonen for at narre medarbejdere til at udlevere adgang til deres Microsoft 365- og Okta-konti. Når de først er inde, stjæler gruppen aktive sessions-tokens, hvilket reelt gør det muligt for angriberne at omgå adgangskoder og flerfaktor-autentifikation fuldstændigt, hvorefter de automatiserer tyveri af virksomhedsdata med henblik på afpresning.

Det opsigtsvækkende ved denne kampagne er ikke den indledende kontaktmetode. Voice phishing, eller "vishing", har været en kendt taktik i årevis. Det er den ovenpålagte automatisering, der forvandler et enkelt vellykket telefonopkald til en skalerbar datatyverioperation, som stille og roligt kan høste filer og kommunikation på tværs af et helt Microsoft 365-miljø, før nogen opdager det.

Sådan fungerer angrebet reelt

Angrebet begynder typisk med et telefonopkald. En medarbejder modtager, hvad der ligner et rutineopkald fra virksomhedens it-support, der ofte henviser til et plausibelt teknisk problem som et login-problem eller en kontospærring. Opkalderen guider offeret gennem trin, der i sidste ende udleverer et aktivt sessions-token eller legitimationsoplysninger tilknyttet Microsoft 365 eller Okta, den identitetsplatform, mange organisationer bruger til at administrere single sign-on-adgang på tværs af deres cloud-værktøjer.

Sessions-tokens er særligt værdifulde for angribere, fordi de repræsenterer en allerede autentificeret session. I stedet for at skulle knække en adgangskode eller omgå flerfaktor-autentifikation, genbruger angriberen blot tokenet for at udgive sig for den legitime bruger, ofte uden at udløse de alarmer, som et nyt, mistænkeligt login ellers ville generere.

Når adgangen er etableret, har UNC6671 angiveligt automatiseret processen med at trække data ud af det kompromitterede Microsoft 365-miljø. I stedet for at en menneskelig operatør manuelt roder gennem postkasser og delte drev, udfører scriptede værktøjer det tunge arbejde, indsamler e-mails, filer og andet følsomt materiale i stor skala. De stjålne data bliver derefter til løftestang i en afpresningsordning, hvor gruppen truer med at lække eller sælge oplysningerne, medmindre der betales.

Dette mønster minder om, hvad forskere har dokumenteret i angreb mod hedgefonde knyttet til den samme afpresningsgruppe, hvor finansielle virksomheder blev målrettet med lignende social engineering- og dataafpresningstaktikker. Finansielle serviceorganisationer er ofte attraktive mål, fordi de besidder store mængder følsomme klientdata og ofte står over for pres for at løse hændelser hurtigt og diskret.

Hvorfor dette har betydning ud over overskrifterne om brud

Det kan være fristende at betragte dette som endnu en historie om et virksomhedsbrud, men privatlivskonsekvenserne spreder sig som ringe i vandet. Når en trusselsgruppe kaprer en medarbejders Microsoft 365-session, får de ikke blot adgang til interne firmafiler. De får potentielt indsigt i klientoptegnelser, personlige data tilhørende kunder eller partnere og intern kommunikation, der aldrig var beregnet til at forlade organisationen.

Fordi den indledende adgang baserer sig på social engineering frem for en teknisk udnyttelse, stopper traditionelle sikkerhedsværktøjer som patching eller endpoint-detektion ikke angrebet ved kilden. Den sårbarhed, der udnyttes, er menneskelig tillid, nærmere bestemt en medarbejders rimelige antagelse om, at et opkald, der hævder at være fra it-support, faktisk er det. Det gør denne type angreb svær at eliminere helt gennem teknologi alene, og det lægger mere vægt på organisatorisk træning og verificeringsprocesser.

Automatiseringsvinklen er også vigtig. Når et sessions-token er stjålet, betyder den hastighed og skala, hvormed data kan eksfiltreres, at der er stadig mindre tidsvindue for sikkerhedsteams til at opdage og reagere, før betydelige mængder følsom information allerede er væk.

Hvad dette betyder for dig

Hvis du arbejder i en organisation, der bruger Microsoft 365 eller Okta – og de fleste store arbejdsgivere gør det – er denne kampagne en påmindelse om, at din egen agtpågivenhed under et rutinepræget it-opkald betyder mere, end det måske ser ud. Ægte it-afdelinger beder sjældent medarbejdere om at læse engangskoder op, godkende uventede login-anmodninger eller navigere til ukendte nulstillingssider under et uopfordret opkald.

For enkeltpersoner handler budskabet mindre om at downloade ny software og mere om vaner. Vær skeptisk over for uopfordrede opkald, der beder om kontoadgang, selv hvis opkalderen lyder kyndig omkring din virksomheds interne systemer. Bekræft anmodninger via en separat, kendt kanal, f.eks. ved at ringe tilbage til it-afdelingen med et nummer fra en intern telefonbog i stedet for et nummer, opkalderen opgiver.

Konkrete råd

Et par praktiske skridt kan reducere din eksponering for denne type angreb:

  • Behandl uopfordrede it-supportopkald med forsigtighed, især dem der beder om login-koder, sessionsgodkendelser eller adgangskodenulstilling.
  • Bekræft enhver it-forespørgsel via et uafhængigt fremskaffet telefonnummer eller internt chat-system, ikke et tilbageringingsnummer givet under det mistænkelige opkald.
  • Meld usædvanlige helpdesk-opkald til dit sikkerhedsteam med det samme, selv hvis du ikke delte nogen oplysninger, da det kan indikere, at din organisation er målrettet.
  • Hvis du har mistanke om, at din session er kompromitteret, så bed it-afdelingen om at tilbagekalde aktive tokens og gennemtvinge et friskt login med flerfaktor-autentifikation.

UNC6671's kampagne viser, at efterhånden som organisationer styrker deres tekniske forsvar, sigter angribere i stigende grad mod det menneskelige lag. At forblive opmærksom på social engineering-forsøg er stadig et af de mest effektive og billige forsvar, der er tilgængeligt for almindelige medarbejdere.