UNC6040 Grubu, Salesforce Kullanıcılarını Vishing Yöntemiyle Hedef Alıyor
Google Tehdit İstihbarat Grubu (GTIG), UNC6040 adlı bilgisayar korsanı grubunun, Salesforce kullanıcılarını hedef alan yeni bir dolandırıcılık yöntemi tespit ettiğini duyurdu. Saldırganlar, “vishing” olarak bilinen sesli kimlik avı yöntemiyle kullanıcıları kandırarak hassas verilere ulaşmaya çalışıyor.
Vishing Yöntemiyle Kimlik Bilgileri Ele Geçiriliyor
Telefon üzerinden gerçekleştirilen kimlik avı saldırılarını ifade eden Vishing yönteminde, dolandırıcılar kendilerini güvenilir kurumların yetkilisi gibi tanıtarak kurbanları arıyor. Bu aramalar esnasında sahte telefon numaraları, ses değiştirme yazılımları ve ikna edici mesajlar kullanılıyor. Dolandırıcılar, bu yolla karşı tarafı kredi kartı bilgileri, kullanıcı adları veya şifre gibi kişisel verileri paylaşmaya ikna etmeye çalışarak ciddi saldırılar düzenliyor.
Salesforce, dünyanın önde gelen bulut tabanlı yazılım sağlayıcılarından biri. Şirket, kullanıcılarına veri giriş ve çıkışı için “Data Loader” adlı bir uygulama sunuyor. UNC6040 grubu, hedef aldığı çalışanlara telefonla ulaşıp kendilerini BT destek personeli olarak tanıtıyor. Ardından çalışanları, Salesforce tarafından onaylanmamış, değiştirilmiş bir Data Loader uygulamasını yüklemeye ikna ediyor.
Çalışan bu uygulamayı kullanarak sisteme veri girişi yaptığında, saldırganlar tüm bu bilgilere erişim sağlayabiliyor. Elde edilen verilerle yalnızca Salesforce ortamı değil, başka bulut hizmetleri ve şirket içi ağlar da tehlikeye giriyor.
Salesforce yetkilileri, yaşanan olayların bir sistem açığından değil tamamen kullanıcıları aldatmaya dayalı bir sosyal mühendislik tekniğinden kaynaklandığını vurguluyor. Bu sebeple şirket, kullanıcılarını yalnızca resmî kaynaklardan uygulama indirmeleri ve bilinmeyen çağrılara karşı dikkatli olmaları konusunda uyarıyor.
Google Tehdit İstihbarat Grubu’na göre, saldırıdan şu an yaklaşık 20 civarında kuruluş etkilenmiş durumda. UNC6040 grubunun faaliyetlerinin Avrupa ve Amerika kıtalarındaki farklı sektörleri hedef aldığı belirtiliyor. Etkilenen sektörler arasında perakende, konaklama, eğitim ve daha birçok alan yer alıyor.
Uzmanlara göre, bazı kurban kuruluşlar ilk saldırıdan aylar sonra şantaja maruz kalıyor. Bu durum, UNC6040 grubunun çaldığı verileri ikinci bir tehdit aktörüyle paylaşmış olabileceğini düşündürüyor. Şantaj sırasında saldırganlar kendilerini “ShinyHunters” gibi bilinen grupların üyesi olarak tanıtıyor. Bu taktikle kurbanlara baskı kurmak hedefleniyor.
GTIG araştırmacıları, UNC6040’un saldırı altyapısında “The Com” adlı yeraltı siber topluluğuyla örtüşen izler buldu. Bu durum, grubun büyük bir siber suç ekosisteminin parçası olabileceğine işaret ediyor. Aynı yapılanmada yer alan diğer gruplar arasında Scattered Spider (UNC3944) da yer alıyor. Ayrıca saldırganların, çok faktörlü kimlik doğrulama (MFA) kodlarını doğrudan kurbanlardan istediği ve veri aktarımı için Mullvad VPN adreslerini kullandığı tespit edildi.
