Co dokładnie robili dzwoniący

Własny zespół analizy zagrożeń Google zidentyfikował kampanię vishingu prowadzoną przez cztery powiązane grupy śledzone pod nazwami Falcon, Helix, Pink i Redact, które według oceny Google mogą działać pod jednym wspólnym kolektywem o nazwie UNC6671. TechCrunch opisał te ustalenia 6 sierpnia 2026 roku.

Metoda w swej istocie była prosta i mało techniczna: atakujący dzwonili do pracowników na ich prywatne telefony komórkowe, a nie na numer służbowy, podając się za kolegę z pracy lub członka wewnętrznego działu wsparcia IT. Ofiary kierowano na stronę zbudowaną tak, by wiernie naśladować prawdziwy portal logowania pracodawcy, gdzie wpisywały nazwę użytkownika, hasło oraz kod ze swojej aplikacji MFA.

To właśnie ten ostatni krok ma znaczenie. Fałszywa strona przekazywała dane logowania i kod MFA napastnikowi w czasie rzeczywistym, dzięki czemu mógł on zalogować się do prawdziwego systemu w tym samym oknie czasowym, w którym kod był jeszcze ważny - technika znana jako przekaźnik MFA w czasie rzeczywistym, czyli phishing-in-the-middle. Kampania trwała w pierwszych miesiącach 2026 roku. W tym okresie portfele powiązane z grupami otrzymały około 10 milionów dolarów w bitcoinie, a po włamaniu zwykle następowało żądanie okupu w wysokości od 750 000 do 3 milionów dolarów.

Dlaczego private equity, a nie sklep z bazą klientów

Organizacje wymienione w doniesieniach to Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's i TPG. To nie jest przypadkowa próbka dużych firm, lecz lista poważnych amerykańskich firm finansowych i private equity, wybranych według logiki wartej jasnego wypowiedzenia.

Większość doniesień o wyciekach danych zakłada, że atakującym zależy na wolumenie: bazie danych z milionami rekordów klientów do sprzedania lub wykorzystania w okupie. Firmy private equity i zarządzające aktywami mają tego stosunkowo niewiele. Dysponują za to skoncentrowanymi uprawnieniami - niewielką liczbą pracowników, często garstką w każdej firmie, którzy mogą zatwierdzić przelew, kontrasygnować transakcję lub przesunąć znaczną sumę bez drugiego podpisu. Ta koncentracja była faktycznym celem atakujących.

To inna logika wyboru celu niż ta, którą zakłada większość doniesień o bezpieczeństwie, i wyjaśnia, dlaczego telefon, a nie email phishingowy wysłany do tysięcy skrzynek, był tu właściwym narzędziem. Nie trzeba przełamywać bazy danych, skoro skompromitowanie trzech czy czterech konkretnych osób daje ten sam efekt szybciej i ciszej.

Dlaczego telefon pokonuje cały wasz stos zabezpieczeń

Uwierzytelnianie wieloskładnikowe, single sign-on, wykrywanie zagrożeń na stacjach roboczych i filtrowanie poczty - wszystko to jest zbudowane tak, by stanąć między złośliwym plikiem, linkiem czy próbą logowania a waszymi systemami. Nic z tego nie stoi między człowiekiem a telefonem. Rozmowa, w której ktoś podaje się za kolegę z pracy lub wsparcie IT, w ogóle nie dotyka tej infrastruktury - trafia prosto w jedyny element, którego nie da się załatać żadną aktualizacją oprogramowania: człowieka pod lekką presją, który stara się pomóc.

To wyjaśnia też, dlaczego kod MFA skradziony w czasie rzeczywistym ważył więcej niż samo hasło. Samo skradzione hasło jest zwykle bezużyteczne wobec dobrze skonfigurowanego MFA. Hasło i przekazywany na żywo kod MFA w tej samej sesji całkowicie jednak neutralizują to zabezpieczenie, ponieważ z punktu widzenia systemu logowanie wygląda dokładnie tak samo jak logowanie prawdziwego pracownika własnym drugim składnikiem, przesunięte jedynie o kilka sekund.

Rozwiązaniem jest procedura, nie produkt

Nie ma produktu do kupienia, który zamknąłby tę lukę, bo luka nie jest techniczna. Każda organizacja, w której niewielka liczba osób może zatwierdzać duże transakcje finansowe - a to opis większości funkcji private equity, zarządzania aktywami i skarbowości, ale też wielu zwykłych średnich firm - powinna ustanowić i faktycznie przećwiczyć procedurę weryfikacji poza pierwotnym kanałem dla każdego nieoczekiwanego telefonu z działu IT lub od kolegi z pracy, proszącego o dane logowania, kod MFA lub pilne działanie.

Sama procedura jest prosta: rozłączyć się i oddzwonić na znany numer wewnętrzny, który samodzielnie się sprawdziło, a nie taki, który podano podczas rozmowy. Nigdy nie wpisywać ponownie hasła ani kodu MFA na stronie z linku otrzymanego podczas rozmowy telefonicznej, bez względu na to, jak przekonująco wygląda strona. Traktować sam pośpiech jako sygnał ostrzegawczy - prawdziwe wsparcie IT rzadko potrzebuje odczytanego na głos hasła w ciągu najbliższych dwóch minut.

Ta lekcja dotyczy znacznie więcej niż sektora finansowego. Każda firma w UE lub Wielkiej Brytanii z niewielką liczbą osób o wysokich uprawnieniach - zatwierdzających płatności, administratorów IT, kierownictwa z pełnomocnictwem do zlecania przelewów - pasuje do tego samego profilu celu, z którego wychodzili atakujący. W UE firmy już objęte DORA lub obowiązkami zgłaszania incydentów wynikającymi z NIS2 powinny traktować udaną kompromitację przez vishing dokładnie jako ten rodzaj incydentu, który te przepisy każą wykrywać i zgłaszać.

Czytaj dalej: Żaden człowiek nie wybrał exploita, CISA daje 2 dni  |  Wymień każdy klucz CI użyty 4 sierpnia