A gangue de ransomware ShinyHunters, conhecida por suas ações cibernéticas, assumiu a responsabilidade por uma recente onda de ataques de vishing que exploram contas de Login Único (SSO) em plataformas como Microsoft Entra, Okta e, supostamente, Google. O objetivo é claro: acessar serviços de software como serviço (SaaS) para roubar dados sensíveis e extorquir empresas.
A Tática do Vishing e a Falsa Ajuda de TI
Os ataques são meticulosamente planejados e se baseiam na engenharia social. Cibercriminosos se passam por suporte de TI, ligando para funcionários e os induzindo a inserir suas credenciais e códigos de autenticação de dois fatores (2FA) em sites de phishing que mimetizam as páginas de login das empresas. Uma vez que as credenciais são roubadas, os hackers utilizam o acesso do SSO para penetrar profundamente na infraestrutura da companhia.
Explorando o Login Único (SSO)
Serviços de SSO, como Microsoft Entra (antigo Azure AD), Google e Okta, são amplamente adotados por empresas para simplificar o acesso a múltiplas aplicações de terceiros com um único login. Isso significa que, ao invadir uma conta SSO, os golpistas ganham acesso a uma vasta gama de serviços de nuvem, ferramentas internas e plataformas de negócios. A dashboard do SSO, que lista todos os serviços conectados, serve como um mapa para os invasores acessarem sistemas e dados corporativos vitais.
Entre os aplicativos comumente conectados via SSO estão Adobe, Atlassian, Dropbox, Google Workspace, Microsoft 365, Salesforce, SAP, Slack e Zendesk, tornando a exploração de um único login um portal para múltiplos sistemas críticos.
Alvos Comuns e a Sofisticação dos Kits de Phishing
Um relatório da Okta revelou que os kits de phishing empregados pelos hackers são extremamente adaptáveis, permitindo a mudança dinâmica do site imitado em tempo real. Essa capacidade de ajustar o conteúdo da tela de acordo com a conversa telefônica com a vítima facilita o roubo de códigos 2FA. Os criminosos podem até enviar notificações push e guiar o usuário passo a passo durante o processo de login fraudulento.
Reivindicações e Silêncio das Gigantes da Tecnologia
A gangue ShinyHunters afirma ter invadido sessões da Microsoft Entra e do Google, embora ambas as empresas tenham reagido com cautela. A Google declarou que nenhum de seus produtos apresentou indicações de ter sido afetado pela campanha, enquanto a Microsoft se recusou a comentar o caso. Os golpistas também alegam ter utilizado dados roubados em ataques anteriores, como o da Salesforce, para identificar e contatar funcionários para esta nova campanha. O grupo reativou seu site na rede Tor, onde listou vazamentos de dados de empresas como SoundCloud, Betterment e Crunchbase.













