گروه‌های جرایم سایبری با استفاده از ویشینگ و سوءاستفاده از SSO در حملات سریع اخاذی SaaS

دو گروه جرایم سایبری با نام‌های Cordial Spider و Snarky Spider در حال اجرای حملات سریع و پرتأثیر علیه محیط‌های نرم‌افزار به‌عنوان سرویس (SaaS) هستند و محققان امنیت سایبری نسبت به فعالیت‌های آن‌ها هشدار داده‌اند. این دو گروه که از حداقل اکتبر ۲۰۲۵ فعال بوده‌اند، از طریق فیشینگ صوتی (vishing) کاربران را به صفحات جعلی ورود با تم احراز هویت یکپارچه (SSO) هدایت می‌کنند تا اطلاعات احراز هویت و کدهای تأیید دو مرحله‌ای (MFA) را سرقت کنند. شرکت CrowdStrike اعلام کرده که این گروه‌ها با عملیات تقریباً منحصر در محیط‌های SaaS مورد اعتماد، ردپای خود را به حداقل می‌رسانند و این امر شناسایی آن‌ها را برای مدافعان بسیار دشوار می‌کند. گروه Snarky Spider که با اکوسیستم جرایم سایبری موسوم به The Com مرتبط است، قادر است عملیات استخراج داده را در کمتر از یک ساعت آغاز کند.

پس از سرقت اطلاعات ورود، مهاجمان یک دستگاه جدید ثبت می‌کنند تا MFA را دور بزنند، دستگاه‌های قبلی را حذف کرده و قوانین صندوق ورودی ایمیل را برای پنهان‌سازی اعلان‌های ثبت دستگاه غیرمجاز پیکربندی می‌کنند. سپس با دسترسی به ارائه‌دهنده هویت (IdP) سازمان، بدون نیاز به نفوذ جداگانه به هر اپلیکیشن، به‌صورت جانبی در کل اکوسیستم SaaS قربانی حرکت می‌کنند و فایل‌های ارزشمند را از پلتفرم‌هایی مانند Google Workspace، HubSpot، Microsoft SharePoint و Salesforce استخراج می‌نمایند. شرکت Mandiant متعلق به گوگل نیز این دو گروه را با تاکتیک‌های گروه ShinyHunters مرتبط دانسته است.