O que foi observado
Okta Threat Intelligence identificou múltiplos kits personalizados, vendidos como serviço, que se adaptam em tempo real ao ambiente da vítima e sincronizam um operador por voz com a página de phishing exibida no navegador. As campanhas visam usuários de Google, Microsoft, Okta e plataformas de criptomoedas, segundo o relatório publicado pelo veículo que cobriu a descoberta.
Vetor e técnica
Os kits operam com duas frentes: uma página de login falsa e um operador que chama a vítima, frequentemente a partir de números que imitam o suporte da própria empresa. Ao digitar a senha em uma página falsa, as credenciais são imediatamente enviadas ao atacante (relatos mencionam uso de canais como Telegram) enquanto o atacante usa as credenciais para sondar o serviço real e identificar o tipo de desafio MFA que o usuário encontrará.
A página de phishing é então atualizada dinamicamente para apresentar o desafio de MFA esperado — telas de push, prompts de verificação ou páginas interativas — permitindo que o operador instrua a vítima a aprovar notificações que, muitas vezes, a vítima pensa serem legítimas.
Evasão e limitações detectadas
Os kits contêm scripts client-side que controlam fluxos de autenticação direto no navegador da vítima, tornando a detecção por mecanismos automáticos mais difícil ao replicar com precisão os desafios legítimos. A técnica explora confiança humana e timing: o operador coordena a chamada com a exibição do desafio falso, induzindo a aprovação de MFA por parte da vítima.
Fontes apontam que métodos de autenticação resistentes a phishing, como Okta FastPass e FIDO passkeys, não podem ser enganados apenas por engenharia social e, portanto, oferecem proteção real contra essa técnica específica.
Impacto e recomendação para organizações
- Impacto: alta exposição para contas corporativas com acesso a ferramentas críticas (e‑mail, admin consoles, repositórios de código, clouds), pois a técnica busca precisamente usuários com privilégios ou acesso sensível.
- Mitigações prioritárias: implementar autenticação phishing‑resistente (FIDO/Passkeys, WebAuthn), bloquear acessos de redes anônimas conhecidas e aplicar restrições de origem (conditional access) para fluxos administrativos.
- Treinamento: atualizar playbooks de SOC e helpdesk para responder a eventos de vishing, incluindo validação por canais alternativos antes de executar procedimentos sensíveis solicitados via chamada.
Evidências e lacunas
O material técnico publicado descreve a existência de painéis de controle adaptáveis e demonstra a orquestração em tempo real, mas não quantifica volumes ou grupos criminosos específicos por trás das operações. Falta, nos relatos disponíveis, uma lista consolidada de IOCs amplamente compartilhados por provedores, o que limita a capacidade de bloqueio em massa até que fornecedores publiquem indicadores complementares.
Observações finais
O fenômeno representa um passo de professionalização do crime digital — ferramentas vendidas para operadores humanos que escalam fraudes complexas. Organizações com recursos críticos devem priorizar eliminação de vetores humanos (MFA resistente a phishing), controlar acessos por rede e atualizar processos de resposta a incidentes para contemplar vishing coordenado com phishing web.