LONDON (IT BOLTWISE) – Eine neue Welle von Vishing-Angriffen zielt offenbar gezielt auf persönliche Mobilnummern von Mitarbeitenden. Der Angreifer gibt sich als IT-Helpdesk aus und lotst Opfer auf gefälschte AitM-Login-Seiten, um Anmeldedaten, MFA-Tokens und Session-Informationen in Echtzeit abzugreifen. Anschließend nutzen die Täter die gestohlenen Zugänge, um Persistenz aufzubauen und Daten aus Cloud- und SaaS-Umgebungen wie Microsoft 365 und Okta zu exfiltrieren. Besonders auffällig: Die Angriffe umgehen bekannte Hürden, weil die Kompromittierung über den Identitätsanbieter (IdP) in das gesamte SaaS-Ökosystem „durchgreift“.
Angriffe unter der Bezeichnung UNC6671 zeigen derzeit, wie wirkungsvoll Social Engineering sein kann, wenn Organisationen ihre Identitäts- und Zugriffsprozesse nicht konsequent gegen phishing-resistente Schutzmechanismen absichern. Laut Analysen von Google Threat Intelligence Group und Mandiant richtet sich die Kampagne an Mitarbeitende in Unternehmen aus Finanzdienstleistungen, Private Equity sowie professionellen Services. Der entscheidende Hebel ist nicht eine klassische Sicherheitslücke in einem Anbieterprodukt, sondern die Kontaktaufnahme über persönliche Mobilgeräte: Der Threat Actor meldet sich häufig nicht über die betrieblichen Festnetz- oder Ticketkanäle, sondern direkt auf der privaten Nummer und stellt sich als IT-Hilfe dar, der eine „dringende“ Sicherheitsmigration anstoßen müsse.
Technisch übersetzt sich dieser Initialschritt in einen Angriff auf die Authentifizierungskette. Die Anrufer führen Opfer zu sogenannten spoofed login portals, bei denen ein adversary-in-the-middle (AitM)-Setup Credentials und auch MFA-Tokens abgreift. Damit reichen die Angriffe tiefer als nur „Passwörter stehlen“: Wer die Tokens und Session-Informationen erfasst, kann anschließend Sitzungen verlängern und sich Zugriffspersistenz schaffen. In den Berichten ist außerdem die Rede davon, dass die Täter automatisierte Python- und PowerShell-Skripte einsetzen, um Datenabflüsse aus Unternehmens-Clouds und SaaS-Anwendungen zu orchestrieren – darunter Microsoft 365 und Okta.
Bemerkenswert ist dabei, wie stark UNC6671 die Kampagne über mehrere öffentliche Extortion-Brands segmentiert. Google nennt Redact, Pink (alias CL-CRI-1147), Helix und Falcon (alias CL-CRI-1182) als parallel genutzte „Marken“, und verweist zugleich auf frühere Aktivitäten unter dem BlackFile-Label (alias CL-CRI-1116), das zuvor als vishing- und SSO-kompromittierungsgetrieben beschrieben wurde. Die zeitliche Abfolge, die in den Analysen skizziert wird, zeigt eine Abdeckung über das erste Halbjahr 2026 hinweg: Von der Sichtbarkeit ab Anfang Januar über das Auftauchen von Data-Leak-Sites bis hin zu dem Punkt, an dem BlackFile am 11. Mai 2026 angeblich „unter diesem Namen“ abschaltet und Redact bzw. Pink später eigene DLS-Seiten nutzen. Solche Brand-Mechaniken können dazu dienen, Verhandlungen zu monetarisieren, Zuständigkeiten zu verschleiern und Tracking über Identitäten hinweg zu erschweren.
Während Vishing den Einstieg liefert, beschreibt CrowdStrike den eigentlichen Wirkungskern als Missbrauch der Vertrauensbeziehung zwischen Identitätsanbieter (IdP) und angebundenen Diensten. Statt einzelne SaaS-Apps zu kompromittieren, nutzen die Angreifer den gestohlenen, authentifizierten Zustand als „single point entry“, um lateral durch das SaaS-Ökosystem zu navigieren. Zusätzlich wird das Thema Persistenz konkret: Laut den Ausführungen werden kompromittierte Konten so erweitert, dass neue, vom Angreifer kontrollierte MFA-Geräte registriert werden, wobei vorhandene MFA-Geräte zuvor entfernt werden. Genau hier wird klar, warum reine „Ticket-Reduktion“ oder das Schließen einzelner Login-Formulare nicht ausreicht: Der Schlüssel liegt im Identitätslayer selbst und in den Kontrollmechanismen, die verhindern sollen, dass Tokens und Sessions unbemerkt weitergenutzt werden.
Auch die Infrastruktur- und Taktikdetails unterstreichen, dass die Angreifer moderne Abwehr wie MFA und sogar passkey-basierte Ansätze gezielt adressieren. SOCRadar ordnet Pink als Fokus auf „Big Game Hunting“ ein und nennt maßgeschneiderte Phishing-Kits für Okta und Microsoft Entra ID, Zugriffskontrollen zum Blockieren von Sandboxes sowie Hosting- und Domain-Registrierungswege über verschiedene Dienstleister. Darüber hinaus wird beschrieben, dass Credential-Harvesting-Panels auf generischen Root-Domains platziert sind, die scheinbar mit Passkeys, MFA oder SSO zusammenhängen, während Opfer-spezifische Subdomains die Zielgenauigkeit erhöhen (etwa in der Form passkeyhelpdesk[.]com, setupsso[.]com oder idokta[.]com). Ergänzend kommt offenbar kompromittiertes E-Mail-Material zum Einsatz, um bei nicht-SSO-fähigen Anwendungen Passwort-Resets anzustoßen und Bestätigungen sowie Sicherheitsalarme systematisch zu löschen – ein Vorgehen, das die Erkennung erschweren soll.
Für die Praxis ergibt sich daraus ein ziemlich klares Prioritätenbild: Wenn der Einstieg über persönliche Mobilnummern funktioniert, müssen Organisationen ihre Signalisierung und Verifikationskette neu denken. In den Empfehlungen wird deshalb u. a. auf phishing-resistente MFA gesetzt und auf die Integration von SaaS und Cloud-Plattformen mit SSO, ergänzt um Session-Controls, Einschränkungen für Authentifizierungen auf vertrauenswürdige Netzwerkquellen und die konsequente Nutzung von unternehmensverwalteten Geräten für den Zugriff. Zentral ist außerdem das Monitoring: IdP-Logs sollten auf verdächtige Ereignisse rund um MFA-Registrierungen hin überprüft werden, und Security-Tooling sollte warnen, wenn etwa corporate password hashes in unerwarteten Kontexten auftauchen. Selbst der von Bridewell beschriebene, gescheiterte Vishing-Versuch, bei dem die Zielperson in Richtung eines gefälschten Okta-Logins gelotst werden sollte, zeigt den Hebel der Gegenmaßnahmen: Der Angreifer wurde offenbar an bestehenden Sicherheitskontrollen ausgebremst, bevor Credentials eingegeben werden konnten. Joshua Penny sagte dabei wörtlich: „On attempting this alternate access, the destination was blocked by existing security controls before any credential entry could occur.“
Das Gesamtbild wirkt dabei weniger wie ein einzelner „Angriff“ und mehr wie ein modular aufgebautes Geschäftsmodell rund um Identitätsdiebstahl und anschließende Exfiltration. Google weist darauf hin, dass die Nutzung mehrerer öffentlicher Extortion-Brands wahrscheinlich dazu dient, Monetarisierung, Verhandlungen und Tracking zu fragmentieren. Je nach Auswertungszeitraum nennt Google zudem ein Volumen an Bitcoin-Zahlungen in einer Größenordnung von über 10,6 Mio. USD zwischen dem 7. Januar und dem 12. Mai 2026 sowie typische Rabattentscheidungen während der Verhandlungen, darunter Senkungen um 50% bis 75% vom ursprünglichen Forderungsbetrag. Für Unternehmen heißt das: Die Verteidigung darf nicht bei „Login-Seite prüfen“ enden, sondern muss den gesamten Pfad vom ersten Kontakt über Identitäts- und MFA-Registrierung bis zur Session-Nutzung und zum Datenabfluss abdecken – und zwar so, dass ein erfundenes Dringlichkeitsgefühl auf privater Nummer nicht mehr als authentische IT-Kommunikation durchgeht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UNC6671 nutzt Vishing über persönliche Mobiltelefone für SaaS-Datendiebstahl" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UNC6671 nutzt Vishing über persönliche Mobiltelefone für SaaS-Datendiebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UNC6671 nutzt Vishing über persönliche Mobiltelefone für SaaS-Datendiebstahl« bei Google Deutschland suchen, bei Bing oder Google News!