Een nieuwe golf aanvallen die wordt toegeschreven aan de groep UNC6671 draait om UNC6671 vishing: spraakphishing waarmee aanvallers medewerkers misleiden alsof ze de IT-helpdesk zijn. Opvallend daarbij is dat slachtoffers vaak niet op een bedrijfsnummer worden benaderd, maar op hun persoonlijke mobiele telefoon. Dat maakt de oproep extra geloofwaardig en verhoogt de kans dat mensen snel actie ondernemen.
Volgens Google Threat Intelligence Group (GTIG) en Mandiant zijn de gesprekken bedoeld om slachtoffers naar een nagemaakte inlogomgeving te leiden. Via een adversary-in-the-middle (AitM)-opzet onderscheppen de aanvallers vervolgens inloggegevens en ook MFA-tokens. Daarna kunnen ze sessies langdurig vasthouden en clouddata exfiltreren uit SaaS-omgevingen zoals Microsoft 365 en Okta.
Waarom UNC6671 vooral via vishing werkt
UNC6671 vishing focust op sociale misleiding, niet op een kwetsbaarheid in een product. De aanvallers doen alsof er iets “dringends” moet gebeuren: bijvoorbeeld een verplichte beveiligingsmigratie of een urgent account-/beveiligingsprobleem. Door het gevoel van urgentie ontstaat er minder tijd om de legitimiteit van de oproep te checken.
De berichten worden daarbij afgestemd op de context van de organisatie. Medewerkers krijgen de indruk dat de IT-helpdesk hen direct helpt, terwijl ze in werkelijkheid naar een frauduleuze pagina worden geleid die controleert en doorspeelt wat het slachtoffer invoert.
AitM en gestolen MFA-tokens: zo wordt inlog direct bruikbaar
De kern van de aanval is het misleiden van het slachtoffer naar een spoofed login portal. In zo’n AitM-scenario kunnen aanvallers de communicatie tussen gebruiker en authenticatiedienst “meekijken” op een manier die verder gaat dan alleen het stelen van een wachtwoord.
Dat is ook waarom het stelen van MFA-tokens zo belangrijk is: zodra die tokens zijn onderschept, kunnen aanvallers toegang krijgen tot de identiteit en daarmee tot gekoppelde SaaS-toepassingen. GTIG en Mandiant beschrijven dat de groep de verzamelde gegevens gebruikt om session persistence op te bouwen en vervolgens geautomatiseerd data te extraheren.
Van telefoontje naar cloud-exfiltratie (Microsoft 365 en Okta)
Na de initiële inlogstap gaat UNC6671 niet “per app” aan de slag, maar vooral via het identiteitsdomein. In de analyse wordt uitgelegd dat de aanvallers zich richten op de identity provider (IdP), waardoor één geautoriseerde sessie mogelijk toegang geeft tot verschillende SaaS-diensten.
Daarnaast zou de groep persistence creëren door adversary-controlled MFA-devices te registreren op gecompromitteerde accounts. Cruciaal: volgens CrowdStrike gebeurt dit pas nadat eerdere MFA-apparaten worden verwijderd. Daardoor wordt de gebruiker (en het beveiligingsteam) het zicht op “nieuwe” authenticatiebronnen bemoeilijkt.
Meerdere “merken” achter één campagne
UNC6671 vishing wordt gekoppeld aan een data-extortion aanpak: aanvallers proberen geld los te krijgen van organisaties. Daarbij lijken ze hun operatie te versnipperen via meerdere publieke “brands”. Google noemt meerdere merknamen waaronder Redact, Pink (ook bekend als CL-CRI-1147), Helix en Falcon (CL-CRI-1182).
Eerder zou de activiteit ook onder BlackFile hebben gelopen (CL-CRI-1116). In de tijdlijn die GTIG beschrijft, zien we dat die merknaam later weer terugkomt en vervolgens wordt beëindigd, waarna er opnieuw andere DLS-sites (data leak sites) opduiken. Dit soort wisselende labels kan helpen om onderhandelingen te “compartimenteren” en tracering lastiger te maken.
Concreet: hoe de slachtoffers worden gelokt
Onderzoekers beschrijven verschillende terugkerende tactieken. Samen laten ze zien dat UNC6671 vishing niet één truc is, maar een combinatie van stappen die elkaar versterken.
- Credential harvesting-panelen: de aanvallers gebruiken panels die op generieke domeinen draaien en verwijzen naar passkeys/MFA/SSO. Door slachtoffer-specifieke subdomeinen toe te voegen, kunnen ze oproepen en redirects gericht personaliseren.
- Spoofing van helpdesk-telefoonnummer: bellers gebruiken het legitieme helpdesknummer als basis om hun eigen oproep geloofwaardig te maken. Vervolgens sturen ze het slachtoffer richting een fake AitM-loginpagina.
- Gebruik van gecompromitteerde e-mailaccounts: waar het niet om SSO gaat, kunnen aanvallers wachtwoordresetprocessen op gang brengen en daarbij ook bevestigingen en beveiligingsmeldingen wissen om ontdekking te vertragen.
Ook wordt beschreven dat sommige infrastructuur tegelijkertijd op twee afzonderlijke slachtoffers kan worden ingezet, afhankelijk van het “merk” waaronder de aanval plaatsvindt.
Niet hetzelfde doel, wel dezelfde werkwijze
Volgens Google verschuift UNC6671 vishing in de loop van 2026 van focus. In het voorjaar werd vooral gemeld dat grote organisaties in sectoren zoals manufacturing, real estate, healthcare en insurance doelwit waren. Later verschuift de aandacht richting technologie-, transport- en hospitalitybedrijven, en uiteindelijk naar high-value financiële en juridische organisaties.
Dat betekent niet dat de techniek verandert: het blijft sociale engineering via telefoon, met AitM-infrastructuur en een route via de identiteit. Maar het toont wel dat de aanvallers zich flexibel aanpassen aan kansen in verschillende markten.
Wat is de rol van phishing-resistente MFA?
Een belangrijk punt in de analyses is dat de effectiviteit van de campagne juist laat zien waar traditionele maatregelen tekortschieten. Google benadrukt dat organisaties moeten bewegen richting phishing-resistente MFA om de identiteit en SaaS-platformen te beschermen.
“Phishing-resistant” is relevant omdat aanvallers niet alleen een wachtwoord willen, maar ook tokens en actieve sessies. Als een authenticatieproces gevoelig is voor AitM of misleiding van de gebruiker, kan een aanvaller met de juiste tussenstap alsnog toegang verwerven.
Aanpak: zo verminderen organisaties de kans op dit soort aanvallen
GTIG en Mandiant formuleren concrete aanbevelingen om UNC6671 vishing en vergelijkbare vishing/AitM-aanvallen te verkleinen. De strategie draait om minder vertrouwen op menselijke actie en om betere controle rond identiteit en sessies.
- Forceer phishing-resistente MFA waar mogelijk, zodat omzeiling via nagemaakte loginportalen moeilijker wordt.
- Integreer SaaS en cloudplatforms met SSO, zodat authenticatie minder gefragmenteerd is en reset- en omleidingsrisico’s afnemen.
- Implementeer sessiecontrole om verdachte of ongebruikelijke sessiegedragingen sneller te detecteren en te beperken.
- Beperk authenticatie tot vertrouwde netwerkbronnen, bijvoorbeeld via netwerksegmentatie of toegangsbeleid.
- Gebruik corporate-managed devices voor toegang tot gevoelige omgevingen.
- Monitor IdP-logs op verdacht gedrag rond MFA-registraties en wijzigingsevents.
- Detecteer misbruik van wachtwoordhashes door beveiligings tooling die kan waarschuwen wanneer hashes op niet-toegestane domeinen worden ingevoerd.
Praktisch gezien komt dit neer op één lijn: behandel vishing niet als “slechts” een social-engineering incident, maar als een identiteitstoegangsvraag met duidelijke detection- en preventiepunten.
Snelle check: wat u intern kunt oefenen
Veel van de schade ontstaat doordat medewerkers op het verkeerde moment op de verkeerde manier handelen. Daarom helpt het om intern te oefenen met scenario’s zoals een helpdesk-telefoontje op een persoonlijk nummer, gevolgd door een “dringende” redirect.
Leg daarnaast vast dat medewerkers bij twijfel niet via het gesprek maar via een officieel, intern kanaal bevestigen. Dat verlaagt de kans dat een medewerker zelf het frauduleuze pad opent.
Gerelateerde beveiligingsdossiers
Als u wilt vergelijken hoe aanvallers social engineering koppelen aan account- en identity-issues, dan zijn deze artikelen nuttig:
- Vishing-dreiging UNC6671: meerdere merken, één aanpak
- Microsoft 365 AitM phishing: accounts onder vuur
- CI-workflows gehackt via GitHub issues: fix dit
Conclusie: UNC6671 vishing is een identiteitsspel
UNC6671 vishing draait niet om een exploit die u “patcht”, maar om misleiding die u moet voorkomen met beleid, technologie en detectie. De combinatie van spraakphishing via persoonlijke telefoonnummers, AitM-inlogportalen, gestolen MFA-tokens en vervolgens toegang tot de IdP maakt de aanval bijzonder effectief.
Wie de juiste phishing-resistente MFA inzet, SaaS-omgevingen strak met SSO stuurt, sessies controleert en IdP-logs actief monitort, verkleint de kans dat een valse helpdeskoproep direct leidt tot cloudcompromis en data-extortion.
Bron: https://thehackernews.com/2026/08/unc6671-vishing-attacks-target-personal.html
