Wewnątrz podręcznika phishingu głosowego: Rozwój grupy Vishing UNC6040

Nowy gracz na arenie cyberprzestępczości

Grupa cyberprzestępcza oznaczona jako UNC6040 stała się znaczącą siłą w świecie inżynierii społecznej. Zidentyfikowana przez zespół Threat Intelligence firmy Google, ta finansowa operacja skupiła swoje ataki na przedsiębiorstwach korzystających z Salesforce , popularnej platformy do zarządzania relacjami z klientami (CRM) w chmurze. To, co wyróżnia UNC6040, to specjalistyczne wykorzystanie phishingu głosowego — powszechnie nazywanego „vishingiem” — taktyki, która wykorzystuje interakcje międzyludzkie przez telefon, aby oszukać pracowników i zmusić ich do podania poufnych informacji.

Podczas gdy cyberzagrożenia często opierają się na lukach w zabezpieczeniach oprogramowania, UNC6040 odwraca scenariusz, atakując osoby stojące za systemami. Podszywając się pod wewnętrzne wsparcie IT, grupa przekonuje pracowników do nieświadomego narażania własnych organizacji. To praktyczne, oparte na głosie podejście dodaje warstwę wiarygodności, szczególnie w erze pracy zdalnej, w której pracownicy mogą być bardziej przyzwyczajeni do rozmów z nieznanym personelem wsparcia.

Inżynieria społeczna spotyka Salesforce

W centrum kampanii UNC6040 leży misterny podstęp z udziałem narzędzia Salesforce o nazwie Data Loader. To narzędzie jest zazwyczaj używane do importowania i eksportowania dużych ilości danych. Atakujący modyfikują je, ukrywając aplikację pod nazwami takimi jak „My Ticket Portal” i nakłaniają ofiary do autoryzacji za pośrednictwem oficjalnego interfejsu Salesforce.

Po zatwierdzeniu złośliwa aplikacja działa jak tylne wejście do środowiska CRM organizacji, dając UNC6040 bezpośredni dostęp do cennych danych klientów. Oszustwo na tym się nie kończy. Atakujący często wykorzystują ten punkt zaczepienia, aby rozszerzyć się bocznie, przechodząc do innych wewnętrznych systemów, takich jak Okta, Microsoft 365 i Workplace. To efekt domina — zaczynający się od rozmowy telefonicznej, a kończący się na powszechnym ujawnieniu danych.

Coś więcej niż tylko kradzież danych

Konsekwencje działań UNC6040 wykraczają daleko poza kradzież danych. W wybranych przypadkach grupa lub jej podmioty stowarzyszone wracały miesiącami z żądaniami wymuszenia, wykorzystując skradzione informacje jako dźwignię. Aby zwiększyć presję, twierdzą, że mają powiązania z ShinyHunters , znaną grupą hakerską, chociaż bezpośrednie powiązania nie zostały potwierdzone.

Ta opóźniona strategia wymuszenia sugeruje podejście obliczone, prawdopodobnie we współpracy z innymi podmiotami cyberprzestępczymi. Podkreśla również długoterminowe ryzyko związane z takimi naruszeniami. Organizacje mogą nie odczuć pełnego wpływu aż do czasu, gdy dojdzie do pierwotnego naruszenia, dając atakującym czas na zbadanie wartości skradzionych danych i ich potencjalnych zastosowań.

Nie jest to odosobnione zagrożenie

UNC6040 nie działa w próżni. Jego taktyka pokrywa się z taktyką innych grup cyberprzestępczych, takich jak Scattered Spider, część luźno zorganizowanej sieci znanej jako The Com. Te powiązania sugerują, że vishing stał się metodą docelową wśród cyberprzestępców motywowanych finansowo.

Szczególnie godne uwagi jest to, jak te grupy dostosowują tradycyjne techniki phishingu do nowoczesnej dynamiki miejsca pracy. Ponieważ wiele firm polega na zdalnym wsparciu IT i zewnętrznych biurach pomocy, obecność nieznanego głosu w telefonie nie wzbudza już podejrzeń. Ta normalizacja zdalnych interakcji daje atakującym więcej pola manewru.

Dlaczego to ma teraz znaczenie

Salesforce, świadomy rosnącego zagrożenia, wydał ostrzeżenie w marcu 2025 r., ostrzegając klientów przed tymi taktykami. Według firmy nie ma dowodów na istnienie luk w zabezpieczeniach jej platformy. Zamiast tego ataki polegają na wykorzystaniu braku świadomości cyberbezpieczeństwa u poszczególnych użytkowników. We wszystkich zgłoszonych przypadkach atakujący użyli inżynierii społecznej — a nie technicznych exploitów — w celu złamania zabezpieczeń.

Ten rozwój sytuacji podkreśla zmieniający się krajobraz cyberbezpieczeństwa. W miarę jak platformy technologiczne wzmacniają swoje systemy, atakujący przesuwają uwagę na łagodniejsze cele: ludzi. Głosowe phishing łączy starodawne oszustwo z nowoczesnymi narzędziami, udowadniając, że nawet środowiska high-tech są podatne na manipulacje low-tech.

Jak organizacje mogą reagować

Wzrost UNC6040 to sygnał ostrzegawczy dla firm każdej wielkości. Podczas gdy zapory sieciowe i narzędzia antywirusowe pozostają niezbędne, nie mogą obronić się przed przekonującym telefonem. Edukacja pracowników jest teraz krytyczną warstwą obrony. Organizacje muszą szkolić personel, aby rozpoznawał sygnały ostrzegawcze, takie jak nieoczekiwane żądania IT, nietypowe autoryzacje aplikacji lub presja, aby działać szybko.

Ponadto zabezpieczenia techniczne — takie jak przepływy pracy zatwierdzania aplikacji, uwierzytelnianie wieloskładnikowe i ograniczone kontrole dostępu — mogą pomóc powstrzymać skutki, jeśli inżynieria społeczna się powiedzie. Monitorowanie nietypowej aktywności aplikacji i zaostrzanie uprawnień integracyjnych na platformach takich jak Salesforce są teraz koniecznością, a nie czymś przyjemnym.

Podsumowanie

UNC6040 reprezentuje rosnącą klasę cyberzagrożeń, które żerują na zaufaniu i zachowaniu człowieka, a nie na wadach oprogramowania. Jej kampanie przypominają nam, że cyberbezpieczeństwo to nie tylko wyzwanie techniczne — to wyzwanie ludzkie. W miarę jak taktyki phishingu głosowego stają się coraz bardziej wyrafinowane, organizacje muszą inwestować w świadomość i technologię, aby się przed nimi bronić. Wezwanie może brzmieć jak pomoc, ale jak pokazał UNC6040, może to być początek czegoś o wiele bardziej szkodliwego.