В дайджесте за 29 октября – продолжающаяся в Канаде вишинговая кампания против юридических и финансовых организаций. Злоумышленники выдают себя за внутреннюю ИТ-поддержку, направляют сотрудников на поддельные корпоративные страницы и перехватывают аутентифицированные сессии.


Ложная ИТ-поддержка перехватывает корпоративные сессии

Canadian Centre for Cyber Security 28 октября выпустил предупреждение AL26-028 о звонках сотрудникам канадских организаций. Связанную инфраструктуру с названиями канадских компаний центр наблюдает с января 2026 года. С июля атакующие чаще выбирали финансовый и юридический секторы, а в октябре активность была сосредоточена на юридических организациях [1].

Отдельное предупреждение Национального координационного центра Королевской канадской конной полиции 27 октября передало Общество юристов Ньюфаундленда и Лабрадора. В нём говорится о звонках юристам и сотрудникам фирм от имени внутренней ИТ-службы. Поддельные адреса включали название фирмы и слова, связанные с настройкой единого входа и учётной записи [2].

Как проходит атака

Звонящий сообщает о срочной миграции на ключи доступа, регистрации многофакторной аутентификации или смене пароля. Он может позвонить на личный или рабочий телефон, связаться через Microsoft Teams либо подменить номер настоящей ИТ-службы. Для убедительности злоумышленник ссылается на имена сотрудников поддержки или якобы пропущенный срок обновления.

Сотрудника направляют на страницу, которая имитирует портал его организации. Такая страница работает как посредник между жертвой и настоящим сервисом входа: передаёт введённые данные и запрос MFA, а затем сохраняет уже подтверждённую сессию. Этот приём называют adversary-in-the-middle, или AiTM. Он не взламывает MFA как технологию – пользователь сам проходит проверку через поддельный интерфейс.

Получив доступ, атакующий может зарегистрировать собственный способ MFA или устройство, удалить уведомления об изменениях защиты и сбросить пароли приложений, не связанных с единым входом. Cyber Centre также описывает автоматизированную выгрузку данных из Microsoft 365, SharePoint, OneDrive и подключённых облачных сервисов. После кражи данных возможны требования выкупа.

Что известно об исполнителях и масштабе

Канадский центр считает инфраструктуру и приёмы согласующимися с операциями финансово мотивированного актора UNC6671. Google Threat Intelligence ранее связывала эту группу с вымогательскими брендами BlackFile, Redact, Pink, Helix и Falcon по общим фишинговым шаблонам, доменам и инфраструктуре [3]. Но канадское предупреждение не приписывает каждый эпизод этому оператору окончательно.

Названия атакованных фирм, число звонков, доля успешных вторжений и объём похищенных данных не опубликованы. Сообщение подтверждает несколько целей среди канадских организаций, но не позволяет определить, сколько из них были скомпрометированы. Более ранние данные Google о других операциях UNC6671 нельзя автоматически переносить на октябрьские атаки в Канаде.

Защитные меры

Cyber Centre рекомендует использовать устойчивые к фишингу FIDO2-ключи и привязанные к устройству ключи доступа, разрешать вход в важные системы только с управляемых устройств и независимо проверять запросы на сброс MFA или регистрацию нового устройства. Дополнительно организациям советуют отслеживать новые способы MFA, массовое чтение файлов и удаление уведомлений безопасности.

При подозрении на компрометацию нужно отозвать активные сессии и токены, сменить учётные данные, удалить чужие способы MFA и устройства, а также сохранить журналы Microsoft 365 для расследования. Неожиданный звонок ИТ-службы следует завершить и проверить через известный внутренний канал, независимо от отображаемого номера и срочности просьбы.

Источники

[1] https://www.cyber.gc.ca/en/alerts-advisories/al26-028-ongoing-help-desk-voice-phishing-campaign-targeting-canadian-organizations

[2] https://lsnl.ca/fraud-alert-rcmps-national-cybercrime-coordination-centre-identified-cyber-threat-targeting-canadian-law-firms/

[3] https://cloud.google.com/blog/topics/threat-intelligence/unc6671-targets-financial-services-and-enterprise-cloud-environments