UNC6671 nasila vishing przeciwko środowiskom SaaS, atakując prywatne telefony pracowników

Wprowadzenie do problemu / definicja

UNC6671 to klaster aktywności cyberprzestępczej powiązany z kampaniami vishingowymi, których celem jest przejęcie tożsamości użytkowników i dostępu do usług SaaS. W odróżnieniu od tradycyjnych ataków opartych na malware lub exploitach, operatorzy tej kampanii koncentrują się na socjotechnice, wykorzystując rozmowy telefoniczne oraz fałszywe portale logowania do wyłudzania poświadczeń, kodów MFA i tokenów sesyjnych.

Charakterystycznym elementem najnowszych działań grupy jest kontaktowanie się z pracownikami przez ich prywatne telefony komórkowe. Atakujący podszywają się pod firmowy help desk i przekonują ofiary do wykonania rzekomo pilnych działań związanych z migracją MFA, SSO lub aktualizacją zabezpieczeń.

W skrócie

UNC6671 prowadzi ukierunkowane kampanie vishingowe przeciwko organizacjom korzystającym z usług SaaS i centralnych dostawców tożsamości.
Napastnicy wykorzystują fałszywe strony logowania typu adversary-in-the-middle do przechwytywania haseł, MFA i sesji użytkowników.
Celem ataków są szczególnie firmy z sektorów finansowego, private equity oraz usług profesjonalnych.
Po przejęciu konta przestępcy rozszerzają dostęp do środowisk takich jak Microsoft 365 czy Okta i automatyzują eksfiltrację danych.
Atak nie wymaga wykorzystania podatności technicznej, ponieważ omija zabezpieczenia dzięki skutecznej socjotechnice.

Kontekst / historia

Aktywność UNC6671 została opisana jako część rosnącego trendu ataków wymierzonych w warstwę tożsamości i dostęp do aplikacji chmurowych. Badacze wiążą tę aktywność z wcześniejszymi operacjami prowadzonymi pod marką BlackFile, a także z innymi brandami wykorzystywanymi w kampaniach wymuszeń i kradzieży danych, takimi jak Redact, Pink, Helix czy Falcon.

Taki model działania utrudnia jednoznaczne przypisanie incydentów do jednego podmiotu. Rozdzielenie warstwy technicznej od warstwy monetyzacji i negocjacji pozwala sprawcom elastycznie zmieniać markę, infrastrukturę oraz sposób komunikacji z ofiarami, przy jednoczesnym zachowaniu podobnych technik operacyjnych.

W 2026 roku obserwowano także ewolucję doboru celów. Początkowo kampanie były częściej kierowane przeciwko dużym przedsiębiorstwom z branż produkcyjnej, nieruchomości, ochrony zdrowia i ubezpieczeń, a z czasem objęły również firmy technologiczne, transportowe, hotelarskie oraz organizacje o wysokiej wartości operacyjnej i finansowej.

Analiza techniczna

Mechanizm ataku rozpoczyna się od rozmowy telefonicznej. Operator, podszywając się pod wsparcie IT, buduje wiarygodną narrację opartą na presji czasu, problemie z kontem lub obowiązkowej migracji zabezpieczeń. Następnie ofiara jest kierowana na spreparowaną stronę logowania, która wizualnie przypomina legalny portal SSO, Microsoft Entra ID lub Okta.

Kluczową rolę odgrywa tutaj infrastruktura adversary-in-the-middle. Taki portal pośredniczy pomiędzy użytkownikiem a prawdziwą usługą uwierzytelniania, dzięki czemu atakujący mogą przechwycić login, hasło, kody MFA, a w niektórych scenariuszach również aktywne tokeny sesyjne. To pozwala im uzyskać dostęp do usług bez konieczności ponownego uwierzytelniania się w klasyczny sposób.

Po kompromitacji konta przestępcy koncentrują się na warstwie identity security. W praktyce oznacza to wykorzystywanie przejętego konta jako punktu wejścia do całego ekosystemu aplikacji połączonych z dostawcą tożsamości. Jeden skuteczny incydent może więc otworzyć dostęp do poczty, dokumentów, narzędzi współpracy, paneli administracyjnych i dodatkowych usług biznesowych.

Analizy wskazują również, że operatorzy potrafią rejestrować własne urządzenia lub metody MFA na przejętych kontach. W części przypadków usuwają wcześniej istniejące metody uwierzytelniania, co zwiększa trwałość dostępu nawet po zmianie hasła przez użytkownika. Dodatkowo wykorzystywane są przejęte skrzynki e-mail do resetowania haseł w aplikacjach niespiętych z SSO oraz do ukrywania wiadomości ostrzegawczych przed ofiarą.

Na poziomie infrastruktury kampanie korzystają z dedykowanych domen i paneli phishingowych stylizowanych na portale związane z passkeys, MFA lub usługami logowania jednokrotnego. Niezależne analizy branżowe sugerują stosowanie dopasowanych zestawów phishingowych dla popularnych platform tożsamości oraz mechanizmów utrudniających analizę przez sandboxy i badaczy bezpieczeństwa.

Konsekwencje / ryzyko

Największe zagrożenie wynika z faktu, że atak nie kończy się na przejęciu pojedynczego endpointu, lecz obejmuje całą warstwę tożsamości. W środowiskach opartych o SSO i centralne zarządzanie dostępem oznacza to możliwość szybkiej eskalacji uprawnień oraz szerokiego dostępu do krytycznych zasobów przy użyciu legalnie wyglądających sesji.

Dla organizacji przekłada się to na ryzyko masowej eksfiltracji danych, utraty poufności informacji klientów, naruszenia obowiązków regulacyjnych oraz potencjalnych działań wymuszeniowych. Szczególnie narażone są podmioty przetwarzające dane finansowe, strategiczne lub objęte tajemnicą zawodową.

Dodatkowym problemem jest wykorzystanie prywatnych telefonów pracowników jako kanału kontaktu. Taki wektor omija część firmowych systemów monitoringu i zwiększa skuteczność socjotechniki, ponieważ rozmowa głosowa buduje większe poczucie autentyczności niż klasyczny e-mail phishingowy.

Rekomendacje

Organizacje powinny przesunąć środek ciężkości obrony z samej ochrony endpointów na ochronę tożsamości. Kluczowe znaczenie ma wdrożenie phishing-resistant MFA, zwłaszcza rozwiązań opartych na kluczach sprzętowych lub mechanizmach kryptograficznych, które utrudniają przejęcie sesji przez pośrednika.

Równie ważne są rygorystyczne procedury help desku. Użytkownicy powinni być szkoleni, że dział IT nie prosi telefonicznie o wpisywanie kodów MFA, logowanie się do nieznanych portali ani rejestrowanie nowych metod uwierzytelniania podczas niezamówionego kontaktu.

Wdrożyć odporne na phishing metody MFA i ograniczyć samodzielne rejestrowanie nowych urządzeń uwierzytelniających.
Monitorować zdarzenia w IdP, w tym rejestrację nowych metod MFA, usuwanie istniejących metod i nietypowe logowania.
Centralizować dostęp do aplikacji przez SSO i analizować ryzykowne sesje w usługach SaaS.
Ograniczać logowanie do zaufanych urządzeń, lokalizacji i sieci.
Wykrywać użycie firmowych poświadczeń na nieautoryzowanych domenach.
Kontrolować reset haseł w aplikacjach, które nie są zintegrowane z SSO.
Prowadzić regularne ćwiczenia z vishingu oraz przygotować playbooki reagowania na incydenty tożsamościowe.

Z perspektywy reagowania kluczowe jest szybkie unieważnienie sesji, reset poświadczeń, usunięcie nieautoryzowanych metod MFA oraz analiza dzienników dostawcy tożsamości i aktywności w usługach SaaS. Im szybciej organizacja wykryje nadużycie warstwy tożsamości, tym większa szansa na ograniczenie skali incydentu.

Podsumowanie

Kampanie UNC6671 pokazują, że współczesne operacje kradzieży danych i wymuszeń coraz częściej zaczynają się od rozmowy telefonicznej, a nie od wykorzystania luki technicznej. Połączenie vishingu, infrastruktury AiTM i przejęcia warstwy tożsamości daje napastnikom szybki i skuteczny dostęp do środowisk SaaS oraz usług chmurowych.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że tradycyjne podejście skoncentrowane wyłącznie na patchowaniu i ochronie stacji roboczych nie wystarcza. Priorytetem powinny być identity security, odporne na phishing MFA, monitoring zdarzeń IdP oraz jasno zdefiniowane procedury operacyjne dla help desku i użytkowników końcowych.