Cybercrime Groups Using Vishing and SSO Abuse in Rapid SaaS Extortion Attacks
Zwei Cybercrime-Gruppen, Cordial Spider und Snarky Spider, führen schnelle SaaS-Angriffe durch, bei denen sie Voicemail-Pishing (Vishing) und Missbrauch von Single-Sign-On-Funktionen einsetzen. Diese Angriffe ermöglichen es den Angreifern, schnell und mit geringem Spurenverlauf Daten zu stehlen. Betroffen sind Unternehmen, die SaaS-Dienste nutzen. Unternehmen sollten strenge Sicherheitsmaßnahmen für Voicemail-Systeme und SSO-Funktionalitäten implementieren sowie regelmäßige Sicherheitskontrollen durchführen.
Die Cybercrime-Gruppen Cordial Spider und Snarky Spider führen schnelle SaaS-Angriffe durch. Sie nutzen Vishing und Missbrauch von Single-Sign-On-Funktionen, um Daten mit geringem Spurenverlauf zu stehlen. Betroffen sind Unternehmen, die SaaS-Dienste nutzen.
Unternehmen, die SaaS-Dienste nutzen.
Vishing und SSO-Missbrauch können klassische Perimeterkontrollen umgehen und schnellen Zugriff auf SaaS-Daten ermöglichen.
Realistischer Worst Case ist schneller Diebstahl von SaaS-Daten nach erfolgreichem Social Engineering und SSO-Missbrauch.
Vishing-resistente Prozesse, starke MFA, SSO-Überwachung und regelmäßige SaaS-Sicherheitskontrollen implementieren.
- ▸Prüfen, ob Helpdesk- und Voicemail-Prozesse gegen Vishing-Szenarien abgesichert sind.
- ▸Kontrollieren, ob SSO-Anomalien wie neue Geräte, ungewöhnliche Standorte oder riskante Sitzungen alarmiert werden.
- ▸Validieren, ob SaaS-Aktivitätslogs Datenexporte und ungewöhnliche Zugriffe nachvollziehbar erfassen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1566 Phishing | Medium | Der Artikel nennt Voicemail-Phishing beziehungsweise Vishing. |
| Initial Access | T1078 Valid Accounts | Medium | Der Artikel beschreibt Missbrauch von Single-Sign-On-Funktionen. |
| Collection | T1213 Data from Information Repositories | Low | Der Artikel nennt Datendiebstahl aus SaaS-Diensten, aber keine konkreten Repositories. |
- Konkrete SaaS-Plattformen sind nicht im Artikel angegeben.
- IOCs, Tools und Exploits sind nicht im Artikel angegeben.
- Die genaue Methode des SSO-Missbrauchs ist nicht im Artikel angegeben.