Inde i Voice Phishing-håndbogen: Fremkomsten af UNC6040 Vishing Group

En ny spiller i cyberkriminalitetsarenaen

En cyberkriminalitetsgruppe med navnet UNC6040 er blevet en fremtrædende kraft i social engineering-verdenen. Denne økonomisk drevne operation, der er identificeret af Googles Threat Intelligence-team , har fokuseret sine angreb på virksomheder, der bruger Salesforce , den populære cloudbaserede CRM-platform (Customer Relationship Management). Det, der adskiller UNC6040, er dens specialiserede brug af voice phishing – almindeligvis kaldet "vishing" – en taktik, der udnytter menneskelig interaktion over telefonen til at narre medarbejdere til at give følsomme oplysninger.

Mens cybertrusler ofte er afhængige af softwaresårbarheder, vender UNC6040 scriptet om ved at målrette personerne bag systemerne. Ved at udgive sig for at være intern IT-support, overtaler gruppen medarbejdere til ubevidst at kompromittere deres egne organisationer. Denne praktiske, stemmebaserede tilgang tilføjer et lag af troværdighed, især i en tid med fjernarbejde, hvor medarbejdere kan være mere vant til at tale med ukendt supportpersonale.

Social Engineering møder Salesforce

Kernen i UNC6040's kampagner ligger et kompliceret kneb, der involverer et Salesforce-værktøj kaldet Data Loader. Dette værktøj bruges typisk til at importere og eksportere store mængder data. Angriberne ændrer det, forklæder applikationen under navne som "My Ticket Portal" og leder ofrene til at godkende den via den officielle Salesforce-grænseflade.

Når den ondsindede app er godkendt, fungerer den som en bagdør til organisationens CRM-miljø og giver UNC6040 direkte adgang til værdifulde kundedata. Bedraget stopper ikke her. Angriberne bruger ofte dette fodfæste til at ekspandere lateralt og bevæge sig videre til andre interne systemer som Okta, Microsoft 365 og Workplace. Det er en dominoeffekt – der starter med et telefonopkald og ender med udbredt dataeksponering.

Mere end blot datatyveri

Konsekvenserne af UNC6040's aktivitet rækker langt ud over stjålne data. I udvalgte tilfælde er gruppen eller dens tilknyttede selskaber vendt tilbage måneder senere med afpresningskrav og har brugt de stjålne oplysninger som løftestang. For at forstærke presset hævder de forbindelser til ShinyHunters , et velkendt hackerkollektiv, selvom en direkte tilknytning ikke er blevet bekræftet.

Denne forsinkede afpresningsstrategi antyder en kalkuleret tilgang, muligvis i samarbejde med andre aktører inden for cyberkriminalitet. Den fremhæver også den langsigtede risiko, som sådanne brud udgør. Organisationer mærker muligvis ikke den fulde effekt før længe efter den første kompromittering, hvilket giver angriberne tid til at undersøge de stjålne datas værdi og potentielle anvendelser.

Ikke en isoleret trussel

UNC6040 opererer ikke i et vakuum. Deres taktikker overlapper med andre cyberkriminalitetsgrupper, såsom Scattered Spider, der er en del af et løst organiseret netværk kendt som The Com. Disse forbindelser tyder på, at vishing er blevet en populær metode blandt økonomisk motiverede cyberkriminelle.

Det er særligt bemærkelsesværdigt, hvordan disse grupper tilpasser traditionelle phishing-teknikker til moderne arbejdspladsdynamikker. Da mange virksomheder er afhængige af fjernsupport og outsourcede helpdeske, vækker tilstedeværelsen af en ukendt stemme i telefonen ikke længere røde flag. Denne normalisering af fjerninteraktioner giver angribere mere manøvrerum.

Hvorfor dette er vigtigt nu

Salesforce, der var opmærksom på den voksende trussel, udsendte en advarsel i marts 2025, hvori de advarede kunderne om disse taktikker. Ifølge virksomheden er der ingen tegn på en sårbarhed i dens platform. I stedet er angrebene afhængige af at udnytte individuelle brugeres manglende cybersikkerhedsbevidsthed. I alle rapporterede tilfælde brugte angriberne social engineering – ikke tekniske udnyttelser – til at bryde forsvaret.

Denne udvikling understreger det skiftende cybersikkerhedslandskab. I takt med at teknologiplatforme hærder deres systemer, flytter angribere fokus til de blødere mål: menneskerne. Voice phishing blander gammeldags bedrag med moderne værktøjer, hvilket beviser, at selv højteknologiske miljøer er sårbare over for lavteknologisk manipulation.

Hvordan organisationer kan reagere

Fremkomsten af UNC6040 er et wake-up call for virksomheder af alle størrelser. Selvom firewalls og antivirusværktøjer stadig er essentielle, kan de ikke forsvare sig mod et overbevisende telefonopkald. Medarbejderuddannelse er nu et kritisk lag i forsvaret. Organisationer skal træne personalet i at genkende røde flag, såsom uventede IT-anmodninger, usædvanlige app-autorisationer eller pres for at handle hurtigt.

Derudover kan tekniske sikkerhedsforanstaltninger – som f.eks. app-godkendelsesworkflows, multifaktorgodkendelse og begrænset adgangskontrol – hjælpe med at inddæmme konsekvenserne, hvis social engineering lykkes. Overvågning af usædvanlig appaktivitet og stramning af integrationstilladelser i platforme som Salesforce er nu uundværlige ting, ikke rare ting.

Konklusion

UNC6040 repræsenterer en voksende klasse af cybertrusler, der udnytter tillid og menneskelig adfærd snarere end softwarefejl. Kampagnerne minder os om, at cybersikkerhed ikke kun er en teknisk udfordring – det er en menneskelig udfordring. Efterhånden som phishing-taktikker med stemmeafgivelse bliver mere sofistikerede, skal organisationer investere ligeligt i bevidsthed og teknologi for at forsvare sig mod dem. Opfordringen lyder måske som hjælp, men som UNC6040 har vist, kan det være starten på noget langt mere skadeligt.