Google GTIG cập nhật UNC6671: vishing và AiTM nhắm vào SaaS

GTIG công bố ngày 06/08/2026 rằng họ tiếp tục theo dõi UNC6671, với hoạt động data-theft extortion dưới nhiều tên như BlackFile, Redact, Pink, Helix và Falcon. Theo GTIG, TTP nhất quán gồm cuộc gọi giả nhân viên IT/helpdesk, credential-harvesting panel kiểu AiTM và truy cập dữ liệu SaaS.

Nguồn cho biết kẻ tấn công có thể liên hệ qua điện thoại cá nhân, dẫn nạn nhân tới portal giả liên quan passkey/MFA, rồi sử dụng session persistence và script tự động để lấy dữ liệu từ môi trường như Microsoft 365 và Okta. Đây là đánh giá của GTIG dựa trên telemetry của họ; NetVali không độc lập xác nhận mọi attribution.

Tên thương hiệu extortion thay đổi không đồng nghĩa TTP thay đổi. Điều này làm IOC theo "tên nhóm" dễ lỗi thời; kiểm soát nên bám vào hành vi: helpdesk contact bất thường, factor enrollment, AiTM domain, session từ hạ tầng lạ và truy vấn/tải dữ liệu hàng loạt.

GTIG công bố danh sách domain/IP quan sát được và nêu các detection cho Okta/Microsoft 365. IOC có tuổi thọ hạn chế; chúng hữu ích cho hunting theo thời gian nhưng không phải danh sách block vĩnh viễn hoặc bằng chứng duy nhất để kết luận compromise.

Kiến trúc phòng thủ cần nối bốn lớp: quy trình xác minh helpdesk, phishing-resistant authentication, session/risk control và SaaS data monitoring. Passkey có thể giảm một số rủi ro nhưng enrollment giả hoặc quy trình hỗ trợ yếu vẫn tạo attack path; phải diễn tập cả human workflow.

Telemetry cần liên kết cuộc gọi/ticket, factor change, login context, token/session, endpoint browser và hành vi SharePoint/OneDrive/Okta. Nếu log chỉ nằm ở từng console riêng, SOC khó dựng timeline đủ nhanh.

• Pha: Helpdesk · Phép kiểm chứng an toàn: Yêu cầu đổi factor giả lập · Bằng chứng mong đợi: Ticket, callback, deny/escalate
• Pha: Identity · Phép kiểm chứng an toàn: Enrollment từ context lạ · Bằng chứng mong đợi: Risk alert, approval, audit log
• Pha: Session · Phép kiểm chứng an toàn: Revoke user/session test · Bằng chứng mong đợi: Token hết hiệu lực trong SLO
• Pha: SaaS · Phép kiểm chứng an toàn: Bulk-access mô phỏng bằng tài khoản test · Bằng chứng mong đợi: Alert, rate/control, owner
• Pha: Response · Phép kiểm chứng an toàn: Tabletop vishing–AiTM · Bằng chứng mong đợi: Timeline, quyết định, bằng chứng

• Helpdesk và đội IAM quản lý reset/enrollment MFA/passkey.
• SOC/threat hunting dùng log Okta, Microsoft 365 và endpoint.
• Đội cloud/SaaS security quản lý session và data access.
• Doanh nghiệp tài chính, pháp lý, y tế và ngành có dữ liệu nhạy cảm.
• Red team/purple team thiết kế diễn tập social engineering có phê duyệt.

Domain/IP trùng IOC không tự động chứng minh một tổ chức bị UNC6671 xâm nhập; có thể cần context thời gian, DNS/proxy, identity và SaaS log. Ngược lại, không thấy IOC đã biết cũng không chứng minh an toàn vì hạ tầng có thể đổi.

Không nên suy mọi nhóm Redact/Pink/Helix/Falcon là cùng một tác nhân ngoài phạm vi đánh giá của GTIG. Cũng không biến bài viết thành hướng dẫn tái tạo trang AiTM; validation nên dùng tabletop hoặc nền tảng mô phỏng được kiểm soát.

• Đọc bài GTIG và lưu thời điểm lấy IOC.
• Kiểm tra quy trình helpdesk xác minh qua kênh độc lập.
• Hạn chế/giám sát factor enrollment và recovery bất thường.
• Xác nhận log Okta/M365 có đủ audit, retention và timestamp.
• Test revoke token/session bằng tài khoản lab.
• Tạo detection cho bulk download và admin action bất thường.
• Hunt IOC kèm time range; không block mù thiếu đánh giá.
• Diễn tập vishing–AiTM bằng kịch bản được phê duyệt.
• Lưu timeline, gap telemetry và owner khắc phục.

• Vishing: Lừa đảo qua cuộc gọi thoại.
• AiTM: Proxy đứng giữa phiên xác thực để lấy credential/token.
• Session persistence: Duy trì quyền truy cập bằng session/token đã có.
• Phishing-resistant MFA: Xác thực giảm khả năng bị relay/phishing.
• TTP: Chiến thuật, kỹ thuật và quy trình của tác nhân.
• IOC: Dấu hiệu quan sát được, cần đặt trong context.