Wprowadzenie do problemu / definicja
Ataki typu vishing, czyli phishing głosowy, ponownie zyskują na znaczeniu jako skuteczna metoda obchodzenia zabezpieczeń tożsamości w organizacjach. W opisywanej kampanii cyberprzestępcy podszywali się pod wewnętrzne wsparcie IT i kontaktowali się z pracownikami, aby skłonić ich do wykonania rzekomo pilnych działań związanych z resetem MFA, migracją zabezpieczeń lub aktywacją passkeys.
Celem takich działań jest nie tylko przejęcie loginów i haseł, ale również pozyskanie drugiego składnika uwierzytelniania w czasie rzeczywistym. To pozwala napastnikom uzyskać dostęp do legalnych kont, a następnie wykorzystać je do kradzieży danych, eskalacji dostępu i wymuszeń finansowych.
W skrócie
- Grupa śledzona jako UNC6671 miała atakować głównie firmy finansowe, fundusze private equity, kancelarie prawne i inne organizacje o wysokiej wartości biznesowej.
- Napastnicy podszywali się pod help desk IT i dzwonili do pracowników, często na prywatne numery telefonów.
- Ofiary kierowano na fałszywe domeny imitujące firmowe portale logowania i procesy SSO.
- Po przejęciu poświadczeń oraz kodów MFA atakujący uzyskiwali dostęp do usług chmurowych i prowadzili eksfiltrację danych.
- Kampania pokazuje, że nawet poprawnie wdrożone MFA może zostać osłabione przez skuteczną socjotechnikę i działania w modelu adversary-in-the-middle.
Kontekst / historia
Opisywana aktywność była łączona z różnymi nazwami i markami przestępczymi, takimi jak Redact, Pink, Helix czy Falcon. Zmienność nazewnictwa nie oznacza jednak braku ciągłości operacyjnej. Analiza infrastruktury, telemetrii i sposobu działania wskazuje, że mogło chodzić o ten sam ekosystem przestępczy funkcjonujący pod różnymi szyldami.
Istotna jest także zmiana priorytetów po stronie napastników. Zamiast masowych kampanii wymierzonych w szeroki rynek, obserwujemy koncentrację na podmiotach, które przetwarzają dane o wysokiej wrażliwości i jednocześnie są bardziej podatne na presję związaną z ujawnieniem incydentu. Dotyczy to szczególnie firm finansowych, kancelarii prawnych oraz organizacji zarządzających poufnymi informacjami inwestycyjnymi i strategicznymi.
Analiza techniczna
Mechanizm ataku łączył klasyczną socjotechnikę z bardzo szybkim wykorzystaniem skradzionych danych uwierzytelniających. Pierwszym etapem było wytypowanie pracownika i nawiązanie z nim kontaktu telefonicznego poza standardowymi kanałami korporacyjnymi. Rozmowa była prowadzona w sposób budujący autorytet i presję czasu, a pretekstem miała być pilna zmiana w systemie bezpieczeństwa.
Następnie ofiara była przekierowywana na spreparowaną domenę lub subdomenę do złudzenia przypominającą prawdziwy portal logowania organizacji. Fałszywe witryny odtwarzały znane elementy procesu SSO, dzięki czemu pracownik miał wrażenie, że wykonuje rutynową operację zatwierdzoną przez dział IT.
Kluczowy moment następował w chwili, gdy użytkownik wpisywał login, hasło i kod drugiego składnika uwierzytelniania. Atakujący przechwytywali te informacje na bieżąco i natychmiast wykorzystywali je do zalogowania się do rzeczywistej usługi. Taka sekwencja znacząco ogranicza skuteczność klasycznego MFA opartego na kodach jednorazowych lub potwierdzeniach, jeśli pracownik został przekonany do współpracy z przestępcą.
Po uzyskaniu dostępu operatorzy przechodzili do etapu post-compromise. Wykorzystywali legalne konta do pobierania danych z usług pocztowych, środowisk produktywności oraz systemów zarządzania tożsamością. Dodatkowo usuwali powiadomienia o resetach haseł, alerty bezpieczeństwa i inne komunikaty, które mogłyby przyspieszyć wykrycie incydentu przez użytkownika lub zespół SOC.
Z perspektywy obrony szczególnie ważne jest to, że kampania nie wymagała wykorzystania podatności zero-day. O powodzeniu ataku decydowały przede wszystkim słabości procesowe, niewystarczająca weryfikacja tożsamości oraz podatność pracowników na presję i wiarygodnie odegraną rozmowę telefoniczną.
Konsekwencje / ryzyko
Dla sektora finansowego i innych organizacji o wysokiej wartości biznesowej ryzyko związane z taką kampanią jest bardzo wysokie. Przejęcie nawet pojedynczego konta może otworzyć drogę do dostępu do poufnej korespondencji, dokumentów transakcyjnych, danych klientów, repozytoriów chmurowych i paneli administracyjnych.
Dodatkowym problemem jest trudność wykrycia incydentu. Jeśli logowanie odbywa się przy użyciu prawidłowych poświadczeń i poprawnego kodu MFA, aktywność może wyglądać jak legalne działanie użytkownika. W efekcie detekcja często następuje dopiero na etapie nietypowej eksfiltracji danych, zmian konfiguracji kont lub kontaktu przestępców z żądaniem okupu.
W praktyce skutki mogą obejmować straty operacyjne, wymuszenia związane z publikacją danych, koszty reagowania na incydent, obowiązki notyfikacyjne oraz ryzyko sankcji regulacyjnych. W branżach opartych na zaufaniu i reputacji sam fakt naruszenia poufności może generować długofalowe konsekwencje biznesowe.
Rekomendacje
Organizacje powinny traktować help desk, procesy resetu haseł, odzyskiwania kont i zarządzania MFA jako element krytyczny architektury bezpieczeństwa. Żadna zmiana związana z uwierzytelnianiem nie powinna być realizowana wyłącznie na podstawie przychodzącej rozmowy telefonicznej, nawet jeśli numer wygląda wiarygodnie.
- Wdrożyć obowiązkową weryfikację out-of-band dla wszystkich operacji dotyczących MFA, passkeys i odzyskiwania kont.
- Ustalić prostą zasadę dla pracowników: nie podawać kodów MFA, nie logować się na żądanie rozmówcy i przerywać rozmowę w przypadku presji czasu.
- Stosować phishing-resistant MFA, najlepiej oparte na kluczach sprzętowych lub mechanizmach kryptografii asymetrycznej.
- Monitorować rejestrację nowych metod uwierzytelniania, zmiany ustawień MFA oraz nietypowe logowania do usług tożsamościowych i chmurowych.
- Wykrywać i analizować przypadki usuwania alertów bezpieczeństwa oraz wiadomości systemowych przez użytkowników.
- Prowadzić regularne szkolenia z vishingu, obejmujące spoofing numerów, presję czasu i fałszywe scenariusze działań help desk.
- Przeprowadzać ćwiczenia symulacyjne dla zespołów wysokiego ryzyka, takich jak finanse, prawnicy, kadra zarządzająca i administratorzy.
Podsumowanie
Kampania oparta na podszywaniu się pod help desk IT pokazuje, że tożsamość pozostaje jednym z najważniejszych celów współczesnych ataków. Nawet zaawansowane mechanizmy ochrony mogą okazać się niewystarczające, jeśli użytkownik zostanie skutecznie zmanipulowany i sam pomoże napastnikowi w obejściu procedur bezpieczeństwa.
Dla organizacji najważniejszą lekcją jest konieczność łączenia technologii z dojrzałymi procesami operacyjnymi. Skuteczna obrona przed vishingiem wymaga nie tylko MFA, ale także odpornych procedur help desk, silnej weryfikacji tożsamości, stałego monitorowania zmian w mechanizmach uwierzytelniania oraz praktycznego przygotowania pracowników na ataki głosowe.
Źródła
- https://securityaffairs.com/196800/security/hackers-impersonate-it-support-to-breach-leading-financial-companies.html
- https://cloud.google.com/blog/topics/threat-intelligence
- https://www.reuters.com/