UNC6671 Mengotomatiskan Pencurian Microsoft 365 Melalui Panggilan Vishing

Sentuhan Baru pada Trik Lama: Vishing Bertemu Otomatisasi

Kelompok ancaman yang dilacak sebagai UNC6671 telah menemukan cara untuk menggabungkan taktik rekayasa sosial kuno dengan otomatisasi modern, dan hasilnya terbukti merugikan bagi organisasi yang menjadi sasarannya. Menurut laporan tentang aktivitas kelompok tersebut, UNC6671 menyamar sebagai staf helpdesk TI internal melalui telepon untuk mengelabui karyawan agar menyerahkan akses ke akun Microsoft 365 dan Okta mereka. Setelah masuk, kelompok ini mencuri token sesi aktif, yang secara efektif memungkinkan penyerang melewati kata sandi dan autentikasi multi-faktor sepenuhnya, kemudian mengotomatiskan pencurian data perusahaan untuk tujuan pemerasan.

Yang membuat kampanye ini menonjol bukanlah metode kontak awalnya. Voice phishing, atau "vishing," telah menjadi taktik yang dikenal selama bertahun-tahun. Melainkan otomatisasi yang ditambahkan di atasnya yang mengubah satu panggilan telepon yang berhasil menjadi operasi pencurian data yang dapat diskalakan, yang dapat secara diam-diam memanen file dan komunikasi di seluruh lingkungan Microsoft 365 sebelum disadari siapa pun.

Bagaimana Serangan Ini Sebenarnya Bekerja

Serangan biasanya dimulai dengan panggilan telepon. Seorang karyawan menerima panggilan yang tampaknya rutin dari tim dukungan TI perusahaan mereka, sering kali merujuk pada masalah teknis yang masuk akal seperti masalah login atau penguncian akun. Penelepon memandu target melalui langkah-langkah yang pada akhirnya menyerahkan token sesi aktif atau kredensial yang terkait dengan Microsoft 365 atau Okta, platform identitas yang digunakan banyak organisasi untuk mengelola akses single sign-on di seluruh alat cloud mereka.

Token sesi sangat berharga bagi penyerang karena mewakili sesi yang sudah terautentikasi. Alih-alih perlu memecahkan kata sandi atau mengalahkan autentikasi multi-faktor, penyerang cukup menggunakan kembali token tersebut untuk menyamar sebagai pengguna yang sah, sering kali tanpa memicu peringatan yang mungkin dihasilkan oleh login baru yang mencurigakan.

Setelah akses itu terbentuk, UNC6671 dilaporkan telah mengotomatiskan proses pengambilan data dari lingkungan Microsoft 365 yang disusupi. Alih-alih operator manusia yang secara manual menggali kotak surat dan drive bersama, alat skrip melakukan pekerjaan berat, mengumpulkan email, file, dan materi sensitif lainnya dalam skala besar. Data yang dicuri itu kemudian menjadi alat tawar dalam skema pemerasan, dengan kelompok tersebut mengancam akan membocorkan atau menjual informasi tersebut kecuali pembayaran dilakukan.

Pola ini menggemakan apa yang telah didokumentasikan oleh para peneliti dalam serangan terhadap hedge fund yang terkait dengan kelompok pemerasan yang sama, di mana perusahaan keuangan ditargetkan menggunakan rekayasa sosial dan taktik pemerasan data yang serupa. Organisasi jasa keuangan cenderung menjadi target yang menarik karena mereka menyimpan data klien sensitif dalam jumlah besar dan sering kali menghadapi tekanan untuk menyelesaikan insiden dengan cepat dan diam-diam.

Mengapa Ini Penting di Luar Berita Pelanggaran

Sangat mudah untuk memperlakukan ini sebagai berita pelanggaran perusahaan biasa, tetapi implikasi privasinya menyebar ke luar. Ketika kelompok ancaman membajak sesi Microsoft 365 seorang karyawan, mereka tidak hanya mengakses file internal perusahaan. Mereka berpotensi mendapatkan visibilitas ke catatan klien, data pribadi milik pelanggan atau mitra, dan komunikasi internal yang tidak pernah dimaksudkan untuk meninggalkan organisasi.

Karena akses awal mengandalkan rekayasa sosial daripada eksploitasi teknis, alat keamanan tradisional seperti patching atau deteksi endpoint tidak menghentikan serangan di sumbernya. Kerentanan yang dieksploitasi adalah kepercayaan manusia, khususnya, asumsi wajar karyawan bahwa panggilan yang mengaku dari dukungan TI memang benar dari dukungan TI. Hal itu membuat gaya serangan ini sulit untuk sepenuhnya dihilangkan hanya melalui teknologi, dan memberi bobot lebih pada pelatihan organisasi dan proses verifikasi.

Sudut otomatisasi juga penting. Begitu token sesi dicuri, kecepatan dan skala di mana data dapat dieksfiltrasi meninggalkan jendela yang semakin sempit bagi tim keamanan untuk mendeteksi dan merespons sebelum sejumlah besar informasi sensitif sudah hilang.

Apa Artinya Bagi Anda

Jika Anda bekerja di organisasi yang menggunakan Microsoft 365 atau Okta, dan sebagian besar perusahaan besar menggunakannya, kampanye ini adalah pengingat bahwa kewaspadaan Anda sendiri selama panggilan TI yang tampaknya rutin lebih penting dari yang terlihat. Departemen TI yang sah jarang meminta karyawan untuk membacakan kode sekali pakai, menyetujui prompt login yang tidak terduga, atau menavigasi ke halaman reset yang tidak dikenal selama panggilan yang tidak diminta.

Bagi individu, intisarinya bukan tentang mengunduh perangkat lunak baru, melainkan tentang kebiasaan. Bersikaplah skeptis terhadap panggilan tidak diminta yang meminta akses akun, bahkan jika penelepon terdengar berpengetahuan tentang sistem internal perusahaan Anda. Verifikasi permintaan melalui saluran terpisah yang dikenal, seperti menelepon kembali departemen TI Anda menggunakan nomor dari direktori internal alih-alih yang diberikan oleh penelepon.

Poin-Poin Praktis yang Dapat Dilakukan

Beberapa langkah praktis dapat mengurangi paparan Anda terhadap jenis serangan ini:

• Perlakukan panggilan dukungan TI yang tidak diminta dengan hati-hati, terutama yang meminta kode login, persetujuan sesi, atau reset kata sandi.
• Verifikasi setiap permintaan TI melalui nomor telepon atau sistem obrolan internal yang bersumber secara independen, bukan nomor panggilan balik yang diberikan selama panggilan mencurigakan.
• Laporkan panggilan helpdesk yang tidak biasa ke tim keamanan Anda segera, bahkan jika Anda tidak membagikan informasi apa pun, karena ini mungkin menunjukkan bahwa organisasi Anda sedang ditargetkan.
• Jika Anda mencurigai sesi Anda disusupi, minta TI untuk mencabut token aktif dan memaksa login baru dengan autentikasi multi-faktor.

Kampanye UNC6671 menunjukkan bahwa saat organisasi memperkuat pertahanan teknis mereka, penyerang semakin menargetkan lapisan manusia. Tetap waspada terhadap upaya rekayasa sosial tetap menjadi salah satu pertahanan paling efektif dan berbiaya rendah yang tersedia bagi karyawan sehari-hari.