Vishing על SSO: Mandiant מתארת איך קמפיין בשם ShinyHunters גונב נתוני SaaS
ב-31 בינואר 2026 פרסמה Google Threat Intelligence דוח על שיחות טלפון שמתחזות לתמיכה ומובילות להשתלטות על חשבונות SSO. אחרי הכניסה התוקפים שואבים נתונים ודורשים כופר.
TL;DR בקצרה
- לפי Google Threat Intelligence, תוקפים מתקשרים לעובדים, מתחזים לתמיכה וגונבים סיסמת SSO וקוד MFA דרך דף כניסה מזויף בשם החברה.
- אחרי הכניסה הם רושמים מכשיר MFA משלהם, ושואבים נתונים מ-SharePoint, מ-OneDrive, מ-Salesforce ומשירותים נוספים.
- Mandiant מדגישה שהפעילות לא נובעת מחולשה במוצרי הספקים, ומשייכת אותה לשלושה אשכולות: UNC6661, UNC6671 ו-UNC6240.
- ההמלצה המרכזית היא מעבר ל-MFA עמיד לפישינג, כמו מפתחות FIDO2 או passkeys.
Google Threat Intelligence פרסמה ב-31 בינואר 2026 דוח על קמפיין vishing על SSO. התוקפים מתקשרים לעובדים ומתחזים לתמיכה טכנית. לפי Mandiant, השיחה נגמרת בגניבת סיסמת SSO וקוד MFA. אחרי הכניסה התוקפים שואבים נתונים מאפליקציות ענן ודורשים תשלום.
איך נראה vishing על SSO, צעד אחר צעד
Vishing הוא פישינג בטלפון. התוקף מציג את עצמו כאיש IT ואומר שצריך לעדכן את הגדרות ה-MFA. הוא מפנה את העובד לדף כניסה מזויף שנראה כמו דף החברה. הדומיינים שזיהתה Google בנויים כך: companynamesso.com או companynameinternal.com.
העובד מקליד שם משתמש, סיסמה וקוד MFA. התוקף מזין אותם בדף האמיתי, ואז רושם מכשיר MFA משלו. מכאן הוא נכנס לחשבון בכל עת. Mandiant מציינת שבחלק מהמקרים תוקפים פרצו לחשבונות של לקוחות Okta. Okta תיארה בפוסט משלה, ב-22 בינואר, את הערכות שמאחורי השיחות האלה.
לפי Okta, יש מי שמוכר את ערכות הפישינג כשירות. הערכות נותנות לאיש הטלפון להחליף את הדף שהקורבן רואה, בזמן אמת. ההחלפה מתאימה למה שהוא אומר ולאתגר ה-MFA האמיתי. כך אישור אפליקציה שלא ביקשתם נראה כמו חלק מהשיחה. Okta מוסיפה שהתאמת מספרים בהתראת דחיפה לא עוצרת את ההתקפות האלה.
מה התוקפים לוקחים אחרי הכניסה
Mandiant מונה שירותים שנפגעו: Microsoft 365, כולל SharePoint ו-OneDrive, וגם Salesforce, Google Workspace ו-DocuSign. לפי Mandiant, הגישה הייתה בעיקר אופורטוניסטית. כלומר, התוקפים לקחו את מה שההרשאות של העובד אפשרו.
הם חיפשו מסמכים לפי מילות מפתח. בין המילים היו poc, confidential, internal, proposal, salesforce ו-vpn. ב-Salesforce הם חיפשו גם מידע אישי. האשכול UNC6671 השתמש ב-PowerShell כדי להוריד בכמות גדולה קבצים מ-SharePoint ומ-OneDrive. כדי לחפש ולמחוק דוא״ל הם השתמשו בתוסף של Google Workspace בשם ToogleBox Recall.
הם גם מחקו את הודעת Okta על רישום שיטת אימות חדשה. כך הסתירו את המכשיר שלהם. בהמשך הגיעו דרישות תשלום. הן מפרטות את הנתונים שנגנבו ואת הסכום, ומבקשות תשלום בביטקוין. המועד האחרון הוא 72 שעות. לפי Mandiant, התוקפים שלחו גם הודעות טקסט לעובדים, ותקפו את אתרי הקורבנות בהצפת DDoS.
הרבה מכתובות ה-IP של התוקפים שייכות לשירותי VPN מסחריים ולרשתות פרוקסי ביתיות, כמו Mullvad ו-Oxylabs. לכן Mandiant ממליצה להשתמש בהן לציד איומים ולא לחסימה גורפת. Google הוסיפה את הדומיינים שזיהתה ל-Chrome Safe Browsing.
מי עומד מאחורי vishing על SSO, ומה לא נטען בדוח
Mandiant מפרידה בין שלושה אשכולות. UNC6661 פעל בוישינג ובגניבת אישורים מתחילת ינואר ועד אמצעו. UNC6671 פעל באופן דומה מתחילת ינואר, ודרישת התשלום שלו לא נשאה את השם ShinyHunters. UNC6240 שלח דרישות תשלום בשם ShinyHunters בעקבות חדירות של UNC6661.
בסוף ינואר פתחה ShinyHunters אתר דליפות חדש. לפי Mandiant, הוא מנה כמה קורבנות לכאורה. Mandiant מדגישה שהפעילות לא נבעה מחולשות במוצרים או בתשתית של הספקים. זו פעולה על אנשים, לא על קוד. לפי The Register, חברת Silent Push מנתה מעל 100 חשבונות Okta SSO של ארגונים גדולים. הם הותקפו או שהוכנו לתקיפה. החברה לא אישרה פריצות. ShinyHunters טענה שפרצה לשתי חברות, אך הטענה לא אומתה.
המקור המלא: הדיווח ב-Google Cloud.
מה זה אומר עבורכם
- עברו ל-MFA עמיד לפישינג: מפתחות FIDO2 או passkeys. Mandiant מציינת שהם עמידים להנדסה חברתית, בניגוד להתראות דחיפה ולהודעות SMS.
- הנחו עובדים: איש IT אמיתי לא יבקש מכם להיכנס לקישור בזמן שיחה. נתקו וחזרו למספר התמיכה הרשמי.
- התריעו על רישום מכשיר MFA חדש: בדקו ב-Okta, ב-Entra וב-Google Workspace מי רשם שיטת אימות חדשה.
- חפשו התנהגות חריגה: הורדות המוניות מ-SharePoint ב-PowerShell, והרשאת OAuth לתוסף ToogleBox Recall.
- הגבילו הרשאות: עובד אחד לא צריך גישה לכל המסמכים והלקוחות בענן. מגבלה כזו מצמצמת את הנזק אחרי השתלטות.
מקורות והרחבה
- Vishing for Access: Tracking the Expansion of ShinyHunters-Branded SaaS Data TheftGoogle Cloud
- Phishing kits adapt to the script of callersOkta
- Mandiant details how ShinyHunters abuse SSO to steal cloud dataBleepingComputer
- Canva among ~100 targets of ShinyHunters Okta identity-theft campaignThe Register
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
