'Phạm vi các nền tảng đám mây bị nhắm mục tiêu tiếp tục mở rộng': Nhóm bảo mật của Google xem xét cách những kẻ săn tin giả mạo (ShinyHunters) đã triển khai rất nhiều vụ lừa đảo SSO gần đây.

Tác giả thanhtrung 04/02/2026 8 phút đọc

Mandiant đã phân tích phương thức hoạt động của ShinyHunters để tìm hiểu sâu hơn.

Hình ảnh minh họa về biểu ngữ "đầu lâu cướp biển", "tấn công mạng", "công nghệ kỹ thuật số", "tấn công mạng" trên CPU máy tính ở phía sau. Hình ảnh cũng thể hiện khái niệm "mạng tối" và "tội phạm mạng", "tấn công mạng" và "gián điệp".

(Nguồn ảnh: Shutterstock)

Các chuyên gia kết luận rằng, sự kết hợp cực kỳ hiệu quả giữa lừa đảo qua điện thoại (vishing) và cơ sở hạ tầng tùy chỉnh đã cho phép băng đảng tống tiền ShinyHunters khét tiếng thực hiện vô số vụ lừa đảo đăng nhập một lần (SSO) trong thời gian gần đây.

Một báo cáo mới từ các chuyên gia của Mandiant thuộc Google đã giải thích phương thức hoạt động đằng sau làn sóng tấn công SSO nhắm vào các công ty thuộc nhiều ngành nghề khác nhau gần đây, cho biết tất cả bắt đầu bằng một cuộc gọi điện thoại.

Nghiên cứu cho thấy những kẻ săn tin giả (ShinyHunters) đã hoàn thiện kỹ năng giả mạo nhân viên CNTT và các chuyên viên công nghệ, gọi điện cho nhân viên ở các vị trí khác nhau và nói rằng cài đặt xác thực đa yếu tố (MFA) của họ cần được cập nhật.

Tống tiền các nạn nhân

Đồng thời, chúng sử dụng cơ sở hạ tầng tùy chỉnh: chúng đã tạo ra các trang đích lừa đảo có tính mô-đun cao, có thể tùy chỉnh và điều chỉnh theo thời gian thực. Do đó, nếu nạn nhân sử dụng Google SSO, họ sẽ được chuyển đến trang đích phù hợp, trang này sau đó có thể thay đổi tùy thuộc vào loại xác thực đa yếu tố (MFA) mà nhân viên đó sử dụng.

Khi kẻ tấn công có được thông tin đăng nhập và mã xác thực đa yếu tố (MFA) , chúng sẽ đăng nhập vào bảng điều khiển SSO của Okta, Entra hoặc Google, từ đó chúng có thể lựa chọn loại dữ liệu muốn đánh cắp: Salesforce , Microsoft 365, SharePoint, DocuSign, Dropbox, hoặc vô số các hệ thống khác. Có vẻ như nhóm ShinyHunters thích Salesforce hơn, mặc dù chúng cũng không bỏ qua các cơ hội khác.

Cuối cùng, sau khi đánh cắp toàn bộ dữ liệu, chúng sẽ thêm một mẫu vào trang rò rỉ dữ liệu của mình và liên hệ với nạn nhân để đòi tiền chuộc.

Để đảm bảo an toàn, các doanh nghiệp nên đào tạo nhân viên về những nguy hiểm của tấn công lừa đảo (phishing) và trang bị kiến thức cho họ về các kỹ thuật mới nhất được sử dụng trong các cuộc tấn công này. Họ cũng nên sử dụng xác thực đa yếu tố (MFA) chống lừa đảo bất cứ khi nào có thể và triển khai kiến trúc mạng không tin cậy (Zero Trust Network Architecture - ZTNA).