Google waarschuwt organisaties voor social engineering-aanvallen op helpdeskmedewerkers die via live chat plaatsvinden. De aanvallers proberen aangevallen personeel naar phishingsites te lokken of malware te laten installeren. De groep aanvallers, die door Google UNC6783 wordt genoemd, probeert gevoelige data te stelen om slachtoffers daarmee af te persen. Volgens het techbedrijf zijn verschillende 'high-value corporate entities' in verschillende sectoren aangevallen.

De aanvallers richten zich op Business Process Outsourcers (BPO's) die bijvoorbeeld voor de aangevallen organisaties de helpdesk en klantenservice verzorgen. Daarnaast zijn ook de helpdesks van de organisaties zelf het doelwit. De aanvallers benaderen de helpdeskmedewerkers via live chat en proberen die op nagemaakte Okta-pagina's te laten inloggen. Okta biedt een platform waar wereldwijd duizenden bedrijven gebruik van maken om werknemers toegang tot systemen en applicaties te geven.

De phishingkit die de aanvallers inzetten kan multifactorauthenticatie (MFA) verificatie omzeilen door de inhoud van het clipboard te stelen, waarna de aanvallers hun eigen apparaten kunnen aanmelden om toegang te blijven houden, zegt Austin Larsen van de Google Threat Intelligence Group (GTIG) op LinkedIn. De aanvallers proberen daarbij specifiek inloggegevens van de Zendesk-omgeving van de aangevallen organisatie te bemachtigen.

Zendesk biedt een online omgeving waarmee organisaties vragen van klanten en gebruikers kunnen verwerken. Het kan allerlei gevoelige gegevens bevatten. De aanvallers stelen deze informatie om daarmee bijvoorbeeld getroffen organisaties af te persen. Ook proberen de aanvallers aangevallen medewerkers zover te krijgen dat ze zogenaamde updates voor hun beveiligingssoftware installeren. In werkelijkheid gaat het om malware waarmee de aanvallers toegang tot het systeem krijgen.

Google doet verschillende aanbevelingen om de aanvallen te voorkomen, waaronder het gebruik van phishingbestendige MFA, zoals FIDO hardware security keys. Tevens wordt aangeraden om live chat te monitoren en medewerkers over deze specifieke aanvalscampagne te informeren. Ook moeten organisaties monitoren op verdachte live chats waarbij personeel naar externe links wordt gestuurd. Onlangs werd bekend dat aanvallers vermoedelijk uit de Zendesk-omgeving van de populaire anime-streamingdienst Crunchyroll de gegevens van miljoenen gebruikers hebben gestolen.