Um Novo Giro em um Velho Truque: Vishing Encontra a Automação

Um grupo de ameaça rastreado como UNC6671 encontrou uma maneira de combinar uma tática antiga de engenharia social com automação moderna, e os resultados estão se mostrando custosos para as organizações apanhadas em seu caminho. De acordo com relatórios sobre a atividade do grupo, o UNC6671 se faz passar por equipe interna de suporte de TI por telefone para enganar funcionários e fazê-los entregar o acesso às suas contas do Microsoft 365 e Okta. Uma vez lá dentro, o grupo rouba tokens de sessão ativos, permitindo efetivamente que os invasores ignorem senhas e autenticação multifator por completo, e então automatiza o roubo de dados corporativos para fins de extorsão.

O que torna esta campanha notável não é o método de contato inicial. Voice phishing, ou “vishing”, é uma tática conhecida há anos. É a camada de automação adicionada por cima que transforma uma única ligação bem-sucedida em uma operação escalável de roubo de dados, capaz de coletar silenciosamente arquivos e comunicações por todo um ambiente Microsoft 365 antes que alguém perceba.

Como o Ataque Realmente Funciona

O ataque tipicamente começa com uma ligação telefônica. Um funcionário recebe o que parece ser uma chamada de rotina da equipe de suporte de TI da sua empresa, muitas vezes mencionando um problema técnico plausível, como um problema de login ou bloqueio de conta. O interlocutor guia o alvo por etapas que acabam entregando um token de sessão ativo ou credenciais vinculadas ao Microsoft 365 ou Okta, a plataforma de identidade que muitas organizações usam para gerenciar o acesso de logon único em suas ferramentas na nuvem.

Tokens de sessão são particularmente valiosos para os invasores porque representam uma sessão já autenticada. Em vez de precisar quebrar uma senha ou burlar a autenticação multifator, o invasor simplesmente reutiliza o token para se passar pelo usuário legítimo, muitas vezes sem disparar os alertas que um novo login suspeito poderia gerar.

Uma vez estabelecido o acesso, o UNC6671 supostamente automatizou o processo de extrair dados do ambiente Microsoft 365 comprometido. Em vez de um operador humano vasculhando manualmente caixas de correio e unidades compartilhadas, ferramentas com scripts fazem o trabalho pesado, coletando e-mails, arquivos e outros materiais confidenciais em escala. Esses dados roubados se tornam então moeda de troca em um esquema de extorsão, com o grupo ameaçando vazar ou vender as informações, a menos que o pagamento seja feito.

Esse padrão ecoa o que pesquisadores documentaram em ataques contra fundos de hedge ligados ao mesmo grupo de extorsão, onde empresas financeiras foram alvo usando táticas semelhantes de engenharia social e extorsão de dados. As organizações de serviços financeiros tendem a ser alvos atraentes porque detêm grandes volumes de dados confidenciais de clientes e muitas vezes enfrentam pressão para resolver incidentes de forma rápida e discreta.

Por que Isso é Importante Além das Manchetes de Violação

É tentador tratar isso como mais uma notícia de violação corporativa, mas as implicações de privacidade se propagam para fora. Quando um grupo de ameaça sequestra a sessão do Microsoft 365 de um funcionário, eles não estão apenas acessando arquivos internos da empresa. Eles potencialmente ganham visibilidade de registros de clientes, dados pessoais pertencentes a clientes ou parceiros e comunicações internas que nunca deveriam sair da organização.

Como o acesso inicial depende de engenharia social em vez de uma exploração técnica, ferramentas de segurança tradicionais, como correção de patches ou detecção de endpoint, não impedem o ataque na origem. A vulnerabilidade explorada é a confiança humana, especificamente, a suposição razoável de um funcionário de que uma ligação que diz ser do suporte de TI realmente é do suporte de TI. Isso torna esse estilo de ataque difícil de eliminar completamente apenas com tecnologia, e coloca mais peso no treinamento organizacional e nos processos de verificação.

O ângulo da automação também importa. Uma vez roubado o token de sessão, a velocidade e a escala com que os dados podem ser exfiltrados deixam uma janela cada vez menor para as equipes de segurança detectarem e responderem antes que quantidades significativas de informações confidenciais já tenham desaparecido.

O Que Isso Significa para Você

Se você trabalha em uma organização que usa Microsoft 365 ou Okta, e a maioria dos grandes empregadores usa, esta campanha é um lembrete de que sua própria vigilância durante uma chamada de TI aparentemente rotineira importa mais do que pode parecer. Departamentos de TI legítimos raramente pedem aos funcionários para ler códigos de uso único, aprovar solicitações de login inesperadas ou navegar para páginas de redefinição desconhecidas durante uma ligação não solicitada.

Para indivíduos, a principal lição não é baixar um novo software, mas sim adquirir hábitos. Seja cético em relação a ligações não solicitadas pedindo acesso à conta, mesmo que o interlocutor pareça conhecer bem os sistemas internos da sua empresa. Verifique as solicitações por um canal separado e conhecido, como ligar para o departamento de TI usando um número do diretório interno, em vez de um fornecido pelo interlocutor.

Recomendações Práticas

Algumas etapas práticas podem reduzir sua exposição a esse tipo de ataque:

  • Trate ligações de suporte de TI não solicitadas com cautela, especialmente as que pedem códigos de login, aprovações de sessão ou redefinições de senha.
  • Verifique qualquer solicitação de TI por meio de um número de telefone obtido de forma independente ou sistema de chat interno, não por um número de retorno fornecido durante a ligação suspeita.
  • Relate imediatamente chamadas suspeitas de helpdesk à sua equipe de segurança, mesmo que você não tenha compartilhado nenhuma informação, pois isso pode indicar que sua organização está sendo alvo.
  • Se você suspeitar que sua sessão foi comprometida, peça ao TI para revogar os tokens ativos e forçar um novo login com autenticação multifator.

A campanha do UNC6671 mostra que, à medida que as organizações reforçam suas defesas técnicas, os invasores miram cada vez mais a camada humana. Permanecer alerta às tentativas de engenharia social continua sendo uma das defesas mais eficazes e de baixo custo disponíveis para os funcionários comuns.