Các chiến dịch vishing hiện nay đã vượt xa khỏi những cuộc gọi điện thoại lừa đảo thông thường kết hợp với trang đăng nhập giả mạo. Một nền tảng tội phạm mới được phát hiện, có tên gọi Work Panel, đang định hình lại cục diện của các cuộc tấn công mạng kiểu này.
Nền tảng web tích hợp này cung cấp khả năng nghiên cứu mục tiêu chi tiết, quản lý nhân sự thực hiện cuộc gọi, tạo trang lừa đảo (phishing site) và xử lý thông tin đăng nhập bị đánh cắp, tất cả trong một môi trường hoạt động thống nhất.
Kết quả là một lộ trình nhanh chóng hơn từ cuộc gọi mạo danh bộ phận hỗ trợ kỹ thuật đến việc chiếm quyền điều khiển tài khoản doanh nghiệp.
Work Panel: Nền Tảng Tấn Công Vishing Toàn Diện
Nền tảng Work Panel hiện đang được sử dụng trong các chiến dịch vishing nhắm vào khách hàng của nhiều nhà cung cấp định danh (identity providers).
Nó cho phép những kẻ tấn công thu thập thông tin chi tiết về nhân viên, sao chép các thương hiệu đăng nhập quen thuộc, khởi chạy các trang lừa đảo độc lập, và hướng dẫn nạn nhân qua các bước xác thực trong khi cuộc gọi vẫn đang diễn ra.
Mô hình này phản ánh các chiến thuật gây áp lực được báo cáo trong các chiến dịch mạo danh Microsoft Teams, nơi sự tin tưởng vào các kênh hỗ trợ nội bộ trở thành điểm xâm nhập ban đầu. Cyber Security News đã ghi nhận chi tiết về các chiến dịch này.
Phân Tích Từ Okta: Cụm Tấn Công O-UNC-045
Okta đã công bố một báo cáo chi tiết về Work Panel, mô tả nó như một giao diện điều hành chủ động liên kết với một cụm xâm nhập mà Okta theo dõi dưới tên O-UNC-045, còn được biết đến là CORDIALSPIDER. Báo cáo của Okta cung cấp phân tích sâu về hoạt động này.
Các nhà nghiên cứu mô tả Work Panel là một ứng dụng hoàn chỉnh để điều hành một hoạt động chiếm quyền điều khiển tài khoản dựa trên vishing, chứ không chỉ là một bộ công cụ lừa đảo cơ bản.
Tác động của nền tảng này không chỉ giới hạn ở một tên miền độc hại hoặc một người gọi duy nhất. Work Panel được thiết kế cho nhiều nhà điều hành và các vai trò nhân sự khác nhau, cho phép các chiến dịch được khởi chạy nhanh chóng và tái thiết lập sau khi bị gián đoạn.
Mô hình này cung cấp cho tội phạm mạng một dịch vụ có thể lặp lại, nhắm mục tiêu vào các tổ chức ở quy mô lớn, đồng thời giữ cho những người thực hiện cuộc gọi tách biệt khỏi những người thu thập thông tin truy cập bị đánh cắp.
Mô Hình Tấn Công Đa Vai Trò
Work Panel chia lực lượng lao động của mình thành các vai trò chính: người gọi (caller), quản lý (manager), và quản trị viên (administrator).
Vai Trò Người Gọi và Quản Lý
- Người gọi: Tìm kiếm thông tin nhân viên mục tiêu, truy xuất thông tin đăng nhập điện thoại internet được chỉ định, gửi các email mồi nhử giới hạn, và tương tác trực tiếp với nạn nhân.
- Quản lý: Giám sát trực tiếp các phiên của nạn nhân, thu thập mật khẩu hoặc mã xác thực được gửi, và thúc đẩy các bước tiếp theo trong thời gian thực, bao gồm các yêu cầu phê duyệt đẩy, khớp số, mã xác thực, hoặc hoàn thành phiếu hỗ trợ.
Người gọi không nhận được thông tin đăng nhập bị thu thập trong quá trình tấn công. Thay vào đó, quản lý sẽ giám sát hàng đợi trực tiếp hiển thị trang lừa đảo mà nạn nhân đang xem và điều hướng các bước tiếp theo theo thời gian thực.
Sự phân chia này bảo vệ dữ liệu giá trị nhất của kẻ tấn công, đồng thời giúp việc tuyển dụng và thay thế người gọi trở nên dễ dàng hơn.
Chuẩn Bị Cuộc Gọi và Kỹ Thuật Social Engineering
Trước một cuộc gọi vishing, nền tảng Work Panel có thể truy vấn dữ liệu liên hệ kinh doanh thương mại để trả về tên nhân viên, địa chỉ email công ty, số điện thoại trực tiếp, chức danh công việc và hồ sơ LinkedIn.
Sự chuẩn bị kỹ lưỡng này làm cho cuộc gọi mạo danh bộ phận hỗ trợ cảm thấy cá nhân hóa, bởi vì người gọi có thể đã biết vai trò và cơ cấu báo cáo của mục tiêu.
Áp lực kỹ thuật social engineering tương tự cũng xuất hiện trong các vụ lừa đảo hỗ trợ qua email bombing, nơi sự nhầm lẫn khiến một liên hệ hỗ trợ không mong đợi trở nên đáng tin cậy. Các chiến dịch lừa đảo sử dụng kỹ thuật này đã được ghi nhận.
Khả Năng Tự Động Hóa Vượt Trội
Work Panel cũng tự động hóa các công việc mà trước đây đòi hỏi kỹ năng kỹ thuật cao. Một quản trị viên có thể thực hiện nhiều tác vụ chỉ với vài thao tác.
- Đăng ký tên miền và cấu hình DNS.
- Tạo một trang lừa đảo (phishing site) riêng biệt.
- Chọn một mẫu đăng nhập từ các nhà cung cấp phổ biến như Okta, Microsoft 365 hoặc Salesforce.
- Sao chép thương hiệu hình ảnh từ một tổ chức mục tiêu để tăng tính hợp lệ của trang lừa đảo.
Sau đó, nền tảng có thể gửi các email lừa đảo có thương hiệu để hướng nhân viên đến trang vừa được tạo, hoàn tất một chu trình tấn công mạng tinh vi.
Chiến Thuật Né Tránh Phát Hiện và Gỡ Bỏ
Mỗi bảng điều khiển lừa đảo (phishing panel) hoạt động độc lập với tên miền phụ (subdomain), cấu hình, quy trình và khối máy chủ web riêng.
Nền tảng cũng bao gồm các tính năng như luân chuyển khóa bí mật (secret rotation), ghi nhật ký hoạt động, giám sát người gọi trực tiếp, và một chức năng tự hủy (self-destruct) có thể xóa các trang lừa đảo và các bản ghi DNS hỗ trợ chỉ trong một hành động.
Những tính năng này khiến các nhà phòng thủ khó có thể dựa vào việc gỡ bỏ một tên miền duy nhất như một giải pháp lâu dài để chống lại các cuộc tấn công mạng phức tạp này.
Chiến Lược Phòng Ngừa và Bảo Vệ An Ninh Mạng
Các tổ chức nên xem xét các cuộc gọi hỗ trợ không mong muốn là một vấn đề xác minh danh tính, chứ không chỉ đơn thuần là vấn đề nhận thức của người dùng. Đây là yếu tố then chốt để củng cố an ninh mạng.
Nhân viên cần một phương pháp được truyền đạt rõ ràng, đáng tin cậy để xác nhận danh tính của nhân viên hỗ trợ trước khi chia sẻ thông tin, phê duyệt yêu cầu đăng nhập hoặc làm theo hướng dẫn nhận được qua điện thoại, email hoặc phần mềm cộng tác.
Điều này đặc biệt quan trọng trong bối cảnh các chiến dịch sử dụng kỹ thuật phishing mã thiết bị (device code phishing), lạm dụng các luồng xác thực trông có vẻ hợp pháp.
Xác Thực Chống Phishing và Kiểm Soát Truy Cập
Okta khuyến nghị sử dụng các phương thức xác thực chống phishing, bao gồm khóa truy cập (passkeys) và thẻ thông minh (smart cards), thay vì các phương pháp có thể được phê duyệt hoặc đọc to trong một cuộc gọi vishing.
Các đội ngũ an ninh mạng cũng nên hạn chế quyền truy cập vào các ứng dụng nhạy cảm đối với các thiết bị được quản lý và bảo vệ bởi các công cụ bảo mật điểm cuối (endpoint security tools).
Ngoài ra, cần thông báo cho người dùng về mọi sự kiện vòng đời của bộ xác thực (authenticator lifecycle event) và giới hạn các thay đổi đối với bộ xác thực dựa trên ngữ cảnh thiết bị và mạng.
Kiểm Soát Dựa Trên Vị Trí và Phát Hiện Xâm Nhập
Hạn chế truy cập dựa trên vị trí có thể giảm thiểu rủi ro tiếp xúc hơn nữa, bằng cách từ chối các nỗ lực đăng nhập từ các quốc gia, mạng hoặc dải IP mà một tổ chức không hoạt động. Điều này giúp ngăn chặn các nỗ lực chiếm quyền điều khiển từ các vị trí bất thường.
Do Work Panel có thể nhanh chóng sao chép thương hiệu và xây dựng lại cơ sở hạ tầng, các nhà phòng thủ nên kết hợp các biện pháp kiểm soát này với việc điều tra nhanh chóng các hoạt động xác thực bất thường.
Đặc biệt chú ý khi người dùng báo cáo một tương tác hỗ trợ không mong muốn hoặc các yêu cầu đăng nhập lặp lại. Các xu hướng đánh cắp dữ liệu và thông tin đăng nhập cho thấy tại sao các biện pháp kiểm soát định danh phải giả định rằng kẻ tấn công có thể thích nghi nhanh chóng.
