<p>由于在暗网论坛和消息平台上出售的定制语音钓鱼工具包，犯罪分子更容易实施社会工程诈骗和其他形式的身份欺诈。</p>
<p>这些工具包作为服务出售给 “越来越多” 的数字入侵者，目标是受害者的 Google、Microsoft 和 Okta 账户，并且它们包括实时协助，帮助不法分子拦截用户的凭证和多因素认证代码，正如周四 Okta 威胁情报博客所述。</p>
<p>&#34;至少有两个工具包实现了观察到的新功能，&#34; Okta 威胁情报副总裁 Brett Winterford 告诉 <em>The Register</em>。</p>
<p>&#34;这些钓鱼工具包被开发得非常接近身份提供者和其他组织使用的身份系统的认证流程，&#34;他说。&#34;这些工具包允许攻击者在目标用户与钓鱼页面互动时监控该页面，并触发目标看到的不同自定义页面。这为要求用户分享凭证和接受多因素认证挑战创造了更具说服力的前提。&#34;</p>
<p>根据 Winterford 的说法，这种恶意活动自 2025 年底以来 “显著演变”，他补充说，一些关于这些钓鱼工具包的广告还试图招募以英语为母语的呼叫者参与诈骗。</p>
<p>&#34;这些呼叫者假装来自某个组织的帮助台，并以解决支持票或进行强制技术更新的借口接触目标，&#34; Winterford 说。</p>
<p>去年，这些类似 Scattered Spider 的 IT 支持电话诈骗帮助犯罪分子获得了数十家公司 Salesforce 实例的访问权限，进行大规模的数据盗窃和敲诈。</p>
<h3>攻击如何进行</h3>
<p>攻击的过程如下：</p>
<p>首先，攻击者对目标进行侦察，了解用户的姓名、使用的应用程序以及 IT 支持电话的电话号码。这些细节可以在公司的官方网站、员工的 LinkedIn 页面和其他公开可用的来源中相对容易地找到。请求聊天机器人研究潜在目标使侦察变得更加容易且快速。</p>
<blockquote>
<p>这些工具包允许攻击者在目标用户与钓鱼页面互动时监控该页面，并触发目标看到的不同自定义页面。</p>
</blockquote>
<p>接下来，攻击者使用钓鱼工具包创建一个看起来真实的登录网站，使用伪造的支持热线或公司电话号码拨打受害者的电话，假装来自公司的帮助台，以说服受害者访问钓鱼页面。&#34;攻击的方式因攻击者的动机和与用户的互动而异，&#34; Winterford 说。</p>
<p>如果一切按计划进行，受害者将在钓鱼网站上输入他们的用户名和密码，这些信息会自动转发到攻击者的 Telegram 频道，攻击者现在拥有合法登录页面的有效凭证。</p>
<p>实时协助在此时发挥作用：当受害者仍在通话中时，攻击者使用被盗凭证尝试登录受害者的账户，记录使用的任何 MFA 挑战，并实时更新钓鱼网站。</p>
<p>然后攻击者要求受害者输入一次性密码、接受推送通知或完成其他类型的多因素认证（MFA）挑战。受害者看到的假页面支持这一请求，从而使社会工程诈骗更加可信。</p>
<p>&#34;例如，如果呈现推送通知（类型的 MFA 挑战），攻击者可以口头告诉用户期待推送通知，并从他们的 [指挥与控制] 面板中选择一个选项，将目标的浏览器引导到一个新页面，显示一条消息暗示推送消息已发送，从而使用户接受未发起的挑战的请求显得更为合理，&#34; 报告中提到。</p>
<ul>
<li>'作为服务的冒充'成为网络犯罪的新趋势</li>
<li>假 IT 支持电话袭击 20 家组织，导致 Salesforce 数据被盗和敲诈，谷歌警告</li>
<li>谷歌表示，去年 Snowflake 攻击背后的团伙从其 Salesforce 实例中窃取了数据</li>
<li>不要点击 LastPass 的 “创建备份” 链接 - 这是一个骗局。</li>
</ul>
<p>此外，根据 Okta 的说法，这些工具包可以帮助攻击者绕过使用数字匹配挑战作为第二种验证形式的推送通知，并简单地告诉目标用户输入特定数字。</p>
<p>无论如何，用户的游戏结束，攻击者现在完全控制了被盗账户。</p>
<p>Okta 的研究与 <em>The Register</em> 之前关于 “作为服务的冒充” 的报道相呼应，犯罪分子将社会工程和身份欺诈的工具打包并出售，采用软件即服务的商业模式。</p>
<p>&#34;作为一个不法分子，你可以订阅获取工具、培训、辅导、脚本、漏洞，一切都打包好，去进行你的渗透操作，这通常将这些社会工程攻击与针对性的勒索软件结合在一起，几乎总是出于经济动机，&#34; 安全公司 Nametag 的首席执行官 Aaron Painter 在之前的采访中告诉我们。®</p>

2 倍做多 MSFT ETF - GraniteShares

OKTX

MSFX

2 倍做多谷歌 ETF - Direxion

GOOW

网络安全 ETF - GlobalX

PSWD

MSFO

OKTA

微软每日 2 倍做多 ETF - Direxion

<p>犯罪分子越来越多地使用在暗网论坛上出售的定制语音钓鱼工具包，来实施针对 Google、Microsoft 和 Okta 账户的社会工程诈骗。这些工具包允许攻击者实时监控钓鱼页面，增强了他们欺骗受害者分享凭证和多因素认证代码的能力。这些诈骗通常涉及冒充 IT 支持人员以获得信任。这种方法已经显著演变，攻击者利用详细的侦察来创建令人信服的钓鱼场景，导致许多组织的数据被盗和勒索</p>

<p>Criminals can more easily pull off social engineering scams and other forms of identity fraud thanks to custom voice-phishing kits being sold on dark web forums and messaging platforms.</p>
<div class="lb-trans"><p>由于在暗网论坛和消息平台上出售的定制语音钓鱼工具包，犯罪分子更容易实施社会工程诈骗和其他形式的身份欺诈。</p>
</div><p>These kits are sold as a service to &#34;a growing number&#34; of digital intruders targeting victims' Google, Microsoft, and Okta accounts, and they include real-time assistance to miscreants looking to intercept users' credentials and multi-factor authentication codes, according to a Thursday Okta Threat Intelligence blog.</p>
<div class="lb-trans"><p>这些工具包作为服务出售给 “越来越多” 的数字入侵者，目标是受害者的 Google、Microsoft 和 Okta 账户，并且它们包括实时协助，帮助不法分子拦截用户的凭证和多因素认证代码，正如周四 Okta 威胁情报博客所述。</p>
</div><p>&#34;There are at least two kits that implement the novel functionality observed,&#34; Okta Threat Intelligence VP Brett Winterford told <em>The Register</em>.</p>
<div class="lb-trans"><p>&#34;至少有两个工具包实现了观察到的新功能，&#34; Okta 威胁情报副总裁 Brett Winterford 告诉 <em>The Register</em>。</p>
</div><p>&#34;The phishing kits have been developed to closely mimic the authentication flows of identity providers and other identity systems used by organizations,&#34; he said. &#34;The kits allow the attacker to monitor the phishing page as the targeted user is interacting with it and trigger different custom pages that the target sees. This creates a more compelling pretext for asking the user to share credentials and accept multi-factor authentication challenges.&#34;</p>
<div class="lb-trans"><p>&#34;这些钓鱼工具包被开发得非常接近身份提供者和其他组织使用的身份系统的认证流程，&#34;他说。&#34;这些工具包允许攻击者在目标用户与钓鱼页面互动时监控该页面，并触发目标看到的不同自定义页面。这为要求用户分享凭证和接受多因素认证挑战创造了更具说服力的前提。&#34;</p>
</div><p>This type of malicious activity has &#34;evolved significantly since late 2025,&#34; according to Winterford, who added that some ads for these phishing kits also look to recruit native English-speaking callers for the scams.</p>
<div class="lb-trans"><p>根据 Winterford 的说法，这种恶意活动自 2025 年底以来 “显著演变”，他补充说，一些关于这些钓鱼工具包的广告还试图招募以英语为母语的呼叫者参与诈骗。</p>
</div><p>&#34;These callers pretend to be from an organization's helpdesk and approach targets using the pretext of resolving a support ticket or performing a mandatory technical update,&#34; Winterford said.</p>
<div class="lb-trans"><p>&#34;这些呼叫者假装来自某个组织的帮助台，并以解决支持票或进行强制技术更新的借口接触目标，&#34; Winterford 说。</p>
</div><p>Last year, these types of Scattered Spider-like IT support call scams helped criminals gain access to dozens of companies' Salesforce instances for large-scale data theft and extortion.</p>
<div class="lb-trans"><p>去年，这些类似 Scattered Spider 的 IT 支持电话诈骗帮助犯罪分子获得了数十家公司 Salesforce 实例的访问权限，进行大规模的数据盗窃和敲诈。</p>
</div><h3>How the attacks work</h3>
<div class="lb-trans"><h3>攻击如何进行</h3>
</div><p>Here's how the attacks play out:</p>
<div class="lb-trans"><p>攻击的过程如下：</p>
</div><p>First, the attacker performs reconnaissance on their targets, learning users' names, what apps they use, and phone numbers for IT support calls. These details can be found fairly easily on companies' websites, employees' LinkedIn pages, and other publicly available sources. Asking a chatbot to research potential targets makes recon even easier, and a lot faster.</p>
<div class="lb-trans"><p>首先，攻击者对目标进行侦察，了解用户的姓名、使用的应用程序以及 IT 支持电话的电话号码。这些细节可以在公司的官方网站、员工的 LinkedIn 页面和其他公开可用的来源中相对容易地找到。请求聊天机器人研究潜在目标使侦察变得更加容易且快速。</p>
</div><blockquote>
<p>The kits allow the attacker to monitor the phishing page as the targeted user is interacting with it and trigger different custom pages that the target sees</p>
</blockquote>
<div class="lb-trans"><blockquote>
<p>这些工具包允许攻击者在目标用户与钓鱼页面互动时监控该页面，并触发目标看到的不同自定义页面。</p>
</blockquote>
</div><p>Next, the attacker uses the phishing kit to create a realistic looking login website, calls the victim using a spoofed support hotline or company phone number, and pretends to be from the company's help desk to convince the victim to visit the phishing page. &#34;The attacks vary from there, depending on the attacker's motivation and their interactions with the user,&#34; Winterford said.</p>
<div class="lb-trans"><p>接下来，攻击者使用钓鱼工具包创建一个看起来真实的登录网站，使用伪造的支持热线或公司电话号码拨打受害者的电话，假装来自公司的帮助台，以说服受害者访问钓鱼页面。&#34;攻击的方式因攻击者的动机和与用户的互动而异，&#34; Winterford 说。</p>
</div><p>If all goes according to plan, the victim enters their username and password into the phishing site, and it's automatically forwarded to the attacker's Telegram channel, and the attacker now has valid credentials for the legitimate sign-in page.</p>
<div class="lb-trans"><p>如果一切按计划进行，受害者将在钓鱼网站上输入他们的用户名和密码，这些信息会自动转发到攻击者的 Telegram 频道，攻击者现在拥有合法登录页面的有效凭证。</p>
</div><p>Here's where real-time assistance comes into play: While the victim is still on the phone, the attacker uses the compromised credentials and attempts to log in to the victim's account, noting whatever MFA challenges are used and updating the phishing site in real-time.</p>
<div class="lb-trans"><p>实时协助在此时发挥作用：当受害者仍在通话中时，攻击者使用被盗凭证尝试登录受害者的账户，记录使用的任何 MFA 挑战，并实时更新钓鱼网站。</p>
</div><p>The attacker then asks the victim to enter a one-time password, accept a push notification, or complete a different type of multi-factor authentication (MFA) challenge. The fake page that the victim sees supports this request, thus making the social-engineering scam even more believable.</p>
<div class="lb-trans"><p>然后攻击者要求受害者输入一次性密码、接受推送通知或完成其他类型的多因素认证（MFA）挑战。受害者看到的假页面支持这一请求，从而使社会工程诈骗更加可信。</p>
</div><p>&#34;If presented a push notification (type of MFA challenge), for example, an attacker can verbally tell the user to expect a push notification, and select an option from their [command-and-control] panel that directs their target's browser to a new page that displays a message implying that a push message has been sent, lending plausibility to what would ordinarily be a suspicious request for the user to accept a challenge the user didn't initiate,&#34; the report says.</p>
<div class="lb-trans"><p>&#34;例如，如果呈现推送通知（类型的 MFA 挑战），攻击者可以口头告诉用户期待推送通知，并从他们的 [指挥与控制] 面板中选择一个选项，将目标的浏览器引导到一个新页面，显示一条消息暗示推送消息已发送，从而使用户接受未发起的挑战的请求显得更为合理，&#34; 报告中提到。</p>
</div><ul>
<li>'Impersonation as a service' the next big thing in cybercrime</li>
<li>Fake IT support calls hit 20 orgs, end in stolen Salesforce data and extortion, Google warns</li>
<li>Google says the group behind last year's Snowflake attack slurped data from one of its Salesforce instances</li>
<li>Don't click on the LastPass 'create backup' link - it's a scam</li>
</ul>
<div class="lb-trans"><ul>
<li>'作为服务的冒充'成为网络犯罪的新趋势</li>
<li>假 IT 支持电话袭击 20 家组织，导致 Salesforce 数据被盗和敲诈，谷歌警告</li>
<li>谷歌表示，去年 Snowflake 攻击背后的团伙从其 Salesforce 实例中窃取了数据</li>
<li>不要点击 LastPass 的 “创建备份” 链接 - 这是一个骗局。</li>
</ul>
</div><p>Plus, according to Okta, these kits can help attackers bypass push notifications that use number-matching challenges as a second form of verification and simply tell the targeted user to enter a specific number.</p>
<div class="lb-trans"><p>此外，根据 Okta 的说法，这些工具包可以帮助攻击者绕过使用数字匹配挑战作为第二种验证形式的推送通知，并简单地告诉目标用户输入特定数字。</p>
</div><p>Either way, it's game over for the user and the attacker now has full control over the compromised account.</p>
<div class="lb-trans"><p>无论如何，用户的游戏结束，攻击者现在完全控制了被盗账户。</p>
</div><p>Okta's research echoes <em>The Register</em>'s earlier reporting about &#34;impersonation-as-a-service,&#34; in which criminals package and sell tools for social engineering and identity fraud using a software-as-a-service-style business model.</p>
<div class="lb-trans"><p>Okta 的研究与 <em>The Register</em> 之前关于 “作为服务的冒充” 的报道相呼应，犯罪分子将社会工程和身份欺诈的工具打包并出售，采用软件即服务的商业模式。</p>
</div><p>&#34;As a bad actor you can subscribe to get tools, training, coaching, scripts, exploits, everything in a box to go out and conduct your infiltration operation that often combine[s] these social engineering attacks with targeted ransomware, almost always with a financial motive,&#34; security shop Nametag CEO Aaron Painter told us in an earlier interview. ®</p>
<div class="lb-trans"><p>&#34;作为一个不法分子，你可以订阅获取工具、培训、辅导、脚本、漏洞，一切都打包好，去进行你的渗透操作，这通常将这些社会工程攻击与针对性的勒索软件结合在一起，几乎总是出于经济动机，&#34; 安全公司 Nametag 的首席执行官 Aaron Painter 在之前的采访中告诉我们。®</p>
</div>

罪犯轻松启动 Scattered-Spider 风格的帮助台诈骗