Pesquisadores de segurança estão alertando para dois grupos de cibercrime que estão realizando "ataques rápidos e de alto impacto" operando quase dentro dos confines de ambientes SaaS, deixando traços mínimos de suas ações. Os clusters, Cordial Spider (também conhecido como BlackFile, CL-CRI-1116, O-UNC-045 e UNC6671) e Snarky Spider (também conhecido como O-UNC-025 e UNC6661), foram atribuídos a roubo de dados de alta velocidade e extorsão.
Descoberta e escopo da ameaça
Esses grupos operam de forma distinta ao explorar a confiança inerente em ambientes de software como serviço (SaaS). Ao invés de atacar infraestrutura tradicional, eles focam em contas de usuário e integrações de SSO (Single Sign-On). A estratégia permite que os atacantes se movam rapidamente entre contas e sistemas, minimizando a detecção por ferramentas de segurança convencionais que monitoram tráfego de rede ou endpoints.
A natureza dos ataques é caracterizada pela velocidade e pela exploração de falhas de configuração em identidades digitais. Ao invés de malware complexo, os atacantes utilizam credenciais roubadas e técnicas de engenharia social, como vishing (phishing por voz), para ganhar acesso inicial e depois escalar privilégios dentro dos ambientes corporativos.
Vetor e exploração
O uso de vishing é particularmente preocupante, pois explora a confiança humana em comunicações telefônicas. Os atacantes podem se passar por suporte técnico ou administradores de sistema para enganar funcionários e obter acesso a contas SSO. Uma vez dentro, eles utilizam a confiança do SSO para acessar múltiplos aplicativos sem a necessidade de autenticação adicional, facilitando o movimento lateral.
A exploração de SSO permite que os atacantes acessem dados sensíveis em tempo real, incluindo e-mails, documentos e informações financeiras. A falta de monitoramento adequado de sessões de SSO e a ausência de autenticação multifator (MFA) resistente a phishing em alguns ambientes aumentam a superfície de ataque.
Impacto e alcance
Os ataques têm um impacto significativo nas organizações afetadas, resultando em perda de dados, interrupção de operações e danos à reputação. A capacidade dos grupos de operar dentro de ambientes SaaS significa que as defesas tradicionais de perímetro são menos eficazes. A detecção tardia pode levar a vazamentos de dados massivos e extorsões bem-sucedidas.
O alcance desses ataques é global, afetando empresas de diversos setores que dependem de soluções em nuvem. A natureza distribuída dos ambientes SaaS torna difícil para as equipes de segurança rastrear a origem e o escopo completo de um comprometimento.
Repercussão e tendências
A evolução dessas táticas reflete uma tendência mais ampla de cibercriminosos se adaptando às mudanças na infraestrutura de TI. Com a migração para a nuvem, os atacantes estão focando em identidades como o novo perímetro. A falta de visibilidade sobre o uso de SSO e a integração de aplicativos cria oportunidades para ataques sofisticados.
Organizações devem revisar suas políticas de acesso e garantir que a autenticação multifator seja obrigatória para todos os usuários, especialmente aqueles com privilégios elevados. O monitoramento de atividades de SSO e a implementação de soluções de segurança de identidade (CIAM) são essenciais para mitigar esses riscos.
Medidas de mitigação recomendadas
As organizações devem implementar autenticação multifator (MFA) resistente a phishing em todos os ambientes SaaS. O monitoramento de sessões de SSO e a detecção de atividades anômalas são cruciais para identificar comprometimentos rapidamente. Além disso, a conscientização dos funcionários sobre técnicas de vishing e phishing é fundamental para prevenir o acesso inicial.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar as integrações de SSO de suas organizações e garantir que todas as contas críticas estejam protegidas por MFA. A implementação de soluções de detecção de ameaças internas (UEBA) pode ajudar a identificar comportamentos suspeitos em ambientes SaaS. Além disso, a revisão regular de logs de acesso e a auditoria de permissões são essenciais para manter a segurança da identidade.