Hvad opkaldene reelt gik ud på

Googles eget trusselsefterretningsteam identificerede en vishingkampagne drevet af fire beslægtede grupper, som det følger under navnene Falcon, Helix, Pink og Redact, og som ifølge Googles vurdering muligvis opererer under en fælles paraply kaldet UNC6671. TechCrunch rapporterede om fundene den 6. august 2026.

Metoden var i sin kerne direkte og lidet teknisk: angriberne ringede til medarbejdere på deres private mobiltelefon, ikke deres arbejdslinje, og udgav sig for at være enten en kollega eller et medlem af den interne IT-support. Ofrene blev ledt til en hjemmeside bygget til nøje at efterligne arbejdsgiverens rigtige loginportal, hvor de indtastede brugernavn, adgangskode og koden fra deres MFA-app.

Det er dette sidste skridt, der er afgørende. Den falske side videresendte login og MFA-kode til angriberen i realtid, så denne kunne logge ind på det rigtige system inden for det tidsrum, hvor koden stadig var gyldig - en teknik kendt som real-time MFA-relay eller phishing-in-the-middle. Kampagnen kørte i de første måneder af 2026. I den periode modtog wallets knyttet til grupperne omkring 10 millioner dollar i bitcoin, og et gennembrud blev typisk fulgt af et afpresningskrav på mellem 750.000 og 3 millioner dollar.

Hvorfor kapitalfonde og ikke en detailhandler med en database

De organisationer, der nævnes i dækningen, er Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's og TPG. Det er ikke en tilfældig stikprøve af store virksomheder, men en liste over store amerikanske finans- og kapitalfondsselskaber, udvalgt efter en logik, det er værd at sige højt.

Det meste af dækningen af datalæk går ud fra, at angribere vil have volumen: en database med millioner af kundeoplysninger til salg eller afpresning. Kapitalfonde og kapitalforvaltere besidder relativt lidt af det. Det, de i stedet besidder, er koncentreret bemyndigelse - et lille antal medarbejdere, ofte en håndfuld pr. selskab, der kan godkende en overførsel, medunderskrive en transaktion eller flytte et betydeligt beløb uden en anden underskrift. Den koncentration var angribernes reelle mål.

Det er en anden logik for målvalg, end det meste af sikkerhedsdækningen antager, og det forklarer, hvorfor et telefonopkald, og ikke en phishingmail sendt til tusindvis af indbakker, var det rette redskab. Man behøver ikke kompromittere en database, når det at kompromittere tre eller fire bestemte personer giver samme resultat hurtigere og med mindre støj.

Hvorfor opkaldet slår hele jeres sikkerhedsstak

Multifaktorgodkendelse, single sign-on, endpoint-detektion og e-mailfiltrering er alle bygget til at stå mellem en ondsindet fil, et link eller et loginforsøg og jeres systemer. Ingen af dem står mellem et menneske og et telefonopkald. Et opkald, der udgiver sig for at være en kollega eller IT-support, rører slet ikke ved den infrastruktur - det går direkte til den ene komponent, ingen softwareopdatering kan patche: et menneske under let pres, der forsøger at være hjælpsom.

Det forklarer også, hvorfor den MFA-kode, der blev stjålet i realtid, vejede tungere end adgangskoden. En stjålet adgangskode alene er ofte ubrugelig mod en velkonfigureret MFA. En adgangskode og en live videresendt MFA-kode inden for samme session sætter til gengæld den beskyttelse fuldstændig ud af kraft, fordi loginnet fra systemets synspunkt ser præcis ud som den ægte medarbejders eget login med egen anden faktor, blot sekunder forskudt.

Løsningen er en protokol, ikke et produkt

Der findes intet produkt at købe, som lukker dette hul, fordi hullet ikke er teknisk. Enhver organisation, hvor et lille antal medarbejdere kan godkende store finansielle transaktioner - hvilket beskriver de fleste kapitalfonds-, kapitalforvaltnings- og treasuryfunktioner, men også mange almindelige mellemstore virksomheder - bør etablere og rent faktisk øve en out-of-band-verifikationsprotokol for ethvert uventet opkald fra IT eller en kollega, der beder om en adgangskode, en MFA-kode eller hastende handling.

Selve protokollen er enkel: læg på, og ring tilbage til et kendt internt nummer, som man selv har slået op, ikke et, der blev opgivet under opkaldet. Genindtast aldrig en adgangskode eller MFA-kode via et link modtaget under et opkald, uanset hvor overbevisende siden ser ud. Behandl selve hastværket som advarselstegnet - ægte IT-support har sjældent brug for, at en adgangskode læses højt op i telefonen inden for de næste to minutter.

Lektien rækker langt ud over finanssektoren. Enhver virksomhed i EU eller Storbritannien med et lille antal personer med høj bemyndigelse - godkendere af betalinger, IT-administratorer, ledere med fuldmagt til overførsler - passer på samme målprofil, som angriberne gik efter. I EU bør selskaber, der allerede er omfattet af DORA eller indberetningspligterne under NIS2, behandle en vellykket vishing-kompromittering præcis som den type hændelse, disse regelsæt forventer, de opdager og indberetter.

Læs videre: Intet menneske valgte exploiten, CISA giver 2 dage  |  Rotér hver CI-nøgle du brugte den 4. august