Personal phone e MFA rubata aprono i cloud aziendali
UNC6671 sta aggirando il perimetro dei dispositivi aziendali chiamando i dipendenti sui telefoni personali e portando la vittima su un login falso. Il punto debole non è l’endpoint gestito: è il percorso di approvazione MFA, che una volta intercettato consente di restare dentro Microsoft 365, Okta e altri SaaS come se l’accesso fosse legittimo.
Google e Mandiant collegano questa ondata di vishing e phishing AitM a UNC6671, con bersagli in financial services, private equity e professional services. Il gruppo usa le credenziali e i token MFA catturati per mantenere la sessione attiva e automatizzare l’esfiltrazione di mail, file e dati applicativi con script Python e PowerShell, operando anche sotto più marchi di estorsione.
Per chi si affida a MFA su telefoni personali, il rischio non si esaurisce nella password rubata: il controllo viene preso dove il login è già stato approvato. Questo sposta la difesa dal blocco del device aziendale al monitoraggio delle sessioni SaaS vive e dei segnali di abuso dell’accesso cloud.