攻击者冒充VPN提供商对员工发起攻击，超130家公司已“中招”
内容提要
GuidePoint研究与情报团队（GRIT）最近发现了一起针对美国130多家公司和组织的网络钓鱼活动。威胁行为者注册了与目标组织使用的VPN提供商相似的域名，并通过电话和短信进行社会工程攻击。攻击者通过伪造的登录页面收集用户的用户名、密码和令牌，即使有多因素认证也是如此。一旦获得VPN访问权限，攻击者就会扫描网络并提升权限。这种类型的社会工程攻击很难被检测到，用户应监控可疑活动并与安全团队合作进行调查。
延伸解读
攻击为何难以被安全工具发现
此次钓鱼活动主要依赖电话和短信直接联系员工，而非传统的邮件钓鱼。这种社会工程方式绕过了邮件网关、URL过滤等常见安全工具的监控范围。安全团队在用户主动报告之前，可能完全不知道攻击发生。攻击者还能针对多个员工反复尝试，直到有人上钩。因此，企业需要加强员工对非邮件渠道社工攻击的警惕性，并建立便捷的报告机制。
多因素认证并非万无一失
文章指出，即使目标组织启用了多因素认证（MFA），攻击者仍能通过伪造的登录页面收集用户名、密码和令牌。如果MFA使用推送通知，攻击者会在电话中诱导用户批准推送。这说明MFA虽然重要，但并不能完全阻止此类社工攻击。用户应警惕任何要求批准推送或提供令牌的意外请求，尤其是在接到声称来自IT支持的电话时。
企业应关注的排查与响应措施
一旦攻击者获得VPN访问权限，他们会立即扫描网络，寻找横向移动和权限提升的机会。文章建议，如果怀疑受到此类钓鱼攻击影响，应检查过去30天内来自VPN分配IP地址的可疑活动日志。若发现任何成功入侵的迹象，应立即宣布事件并与安全团队进行彻底调查。及时排查和响应有助于限制攻击者在内网的进一步行动。
Q&A
这次网络钓鱼攻击的目标是什么？
此次网络钓鱼攻击的目标是美国超过130家公司和组织。
攻击者是如何进行社会工程攻击的？
攻击者通过注册与目标组织VPN提供商相似的域名，并通过电话和短信诱骗用户访问假冒的VPN登录页面。
用户在这次攻击中可能会泄露哪些信息？
用户可能会泄露用户名、密码和令牌，即使有多因素认证也无效。
攻击者获得VPN访问权限后会做什么？
一旦获得VPN访问权限，攻击者会扫描网络以识别横向移动和进一步权限提升的目标。
用户如何检测是否受到攻击？
用户应检查过去30天内来自VPN分配IP地址的可疑活动日志，并在发现入侵迹象时立即报告。
这种类型的社会工程攻击有什么特点？
这种社会工程攻击特别难以检测，因为它通常发生在传统安全工具的可见性之外，例如通过直接拨打用户的手机号和使用短信。
