Канадский центр кибербезопасности предупредил о продолжающейся кампании вишинга против канадских организаций, включая юридические и финансовые компании. Звонящие представляются сотрудниками внутренней ИТ-поддержки и под предлогом срочной миграции на passkeys или смены пароля уводят на поддельные страницы входа. Инфраструктура и методы совпадают с операциями финансово мотивированной группы, а активность в октябре сосредоточилась на юристах. По данным ведомства, схема обходит обычную многофакторную аутентификацию: поддельная страница работает как посредник и в реальном времени передаёт логин и ответ MFA настоящему провайдеру, из-за чего злоумышленник получает готовую сессию. Домены быстро меняются, а в поддомене или имени часто фигурирует название организации, поэтому блок-листы помогают плохо.
Звонки идут на личные мобильные, офисные телефоны и в Microsoft Teams; номер поддержки могут подменить. Для убедительности ссылаются на сотрудников ИТ или просроченные сроки и прерывают разговор, если жертва пытается проверить звонок независимо.
После входа атакующие регистрируют свои методы и устройства MFA, удаляют уведомления о сбросе пароля и изменениях безопасности, меняют пароли в приложениях без SSO. Затем через скрипты и Microsoft Graph выкачивают данные из Microsoft 365, SharePoint и OneDrive и требуют выкуп.
Центр советует перейти на устойчивую к фишингу аутентификацию вроде ключей FIDO2 или device-bound passkeys, ужесточить условный доступ и проверку сброса MFA, следить за подозрительными регистрациями MFA и массовым доступом к файлам. Сотрудников просят самостоятельно перепроверять неожиданные звонки про MFA, passkeys и пароли.
