Unit 42 a documentat o campanie de vishing denumită Spring Ring, observată între ianuarie și aprilie 2026. Atacatorii au folosit identități externe Microsoft 365 care imitau echipe IT sau help desk, au inițiat conversații și apeluri în Microsoft Teams și au încercat să convingă angajații să le ofere control la distanță ori să ruleze programe malițioase.
Ce au observat cercetătorii
Unit 42 spune că actorii au contactat peste 150 de angajați din cel puțin 10 organizații și au folosit 26 de identități externe distincte. Aceste cifre descriu ținte și conturi observate, nu 150 de compromiteri reușite. Organizațiile proveneau din industrii diferite, ceea ce arată că procesul de verificare a suportului IT este relevant dincolo de un singur sector.
Într-o variantă, falsul tehnician încerca să obțină control prin Quick Assist sau alte instrumente legitime de administrare la distanță, apoi să facă recunoaștere și să ruleze o încărcătură malițioasă. În alta, actorii au încercat persistență în browser și furtul autentificării pentru a extinde accesul. Cercetătorii spun că protecțiile și intervenția lor au oprit acțiunile înaintea impactului final descris de atacatori.
De ce bannerul „extern” nu este suficient
Un angajat aflat într-un apel aude o voce, vede un nume familiar și primește explicații care par tehnice. Presiunea vine din sincronizarea canalelor: chatul oferă instrucțiuni, vocea creează urgență, iar aplicația legitimă de suport face cererea să pară normală. Trainingul generic despre linkuri suspecte nu acoperă decizia reală: poate acest om să îmi ceară acces acum?
- Eticheta de utilizator extern este un semnal de verificare, chiar dacă numele, fotografia și descrierea par interne.
- Un apel neașteptat nu devine legitim fiindcă atacatorul cunoaște numele managerului, departamentul sau o problemă tehnică reală.
- Quick Assist și instrumentele RMM sunt legitime, dar o sesiune neprogramată poate oferi unei persoane control asupra dispozitivului.
- Numărul unui tichet trebuie verificat în sistemul cunoscut; nu este suficient ca apelantul să îl dicteze.
- Oprirea apelului și revenirea prin numărul sau portalul oficial nu este lipsă de cooperare, ci procedura corectă.
Regula pentru angajat: oprește, verifică, revino pe canalul cunoscut
- Nu accepta control la distanță și nu instala ori rula nimic în urma unui contact neașteptat.
- Închide conversația și contactează help desk-ul folosind portalul, extensia sau numărul publicat intern înaintea incidentului.
- Verifică existența tichetului și numele tehnicianului prin sistemul oficial, nu prin datele oferite în același chat.
- Raportează imediat contactul, inclusiv dacă nu ai urmat instrucțiunile; SOC-ul poate căuta alte persoane vizate.
- Dacă ai permis accesul, nu încerca să ștergi urmele. Oprește interacțiunea și urmează instrucțiunile echipei interne pentru izolare și conservarea dovezilor.
Help desk, IT și SOC trebuie să facă verificarea posibilă
- Help desk-ul publică o procedură simplă: cum inițiază contactul, ce nu va cere niciodată și cum poate fi verificat un tehnician.
- IT limitează cine poate folosi Quick Assist sau alte instrumente RMM, în ce condiții și cu ce jurnalizare și aprobare.
- Administratorii Microsoft 365 revizuiesc politica pentru chat extern, accesul între organizații și semnalele vizibile utilizatorilor.
- SOC-ul corelează raportările despre identități externe, sesiuni remote, descărcări și activitate de identitate; un singur apel poate face parte dintr-o campanie mai largă.
- Identity team pregătește revocarea sesiunilor și rotația credențialelor pe baza expunerii, nu doar resetarea automată a parolei.
- Managementul măsoară cât de ușor poate un angajat verifica suportul legitim; o regulă fără un canal disponibil îi împinge pe oameni spre improvizație.
Tabletop: falsul tehnician din tenantul extern
Exercițiul poate dura 35–45 de minute și trebuie să includă angajați, help desk, IT, SOC, identity și manageri. Nu cere participanților să reproducă acțiuni malițioase; evaluează decizia și escaladarea.
- Inject 1 — un cont extern cu numele „IT Support” scrie că laptopul trebuie verificat urgent. Ce semnale observă angajatul și unde verifică?
- Inject 2 — apelantul cunoaște numele managerului și oferă un număr de tichet. Ce dovadă independentă este necesară?
- Inject 3 — angajatul a acceptat o sesiune Quick Assist timp de două minute. Cine izolează dispozitivul și ce sesiuni sau credențiale intră în analiză?
- Inject 4 — trei colegi raportează mesaje similare de la identități diferite. Cum corelează SOC-ul campania și cum avertizează organizația fără să genereze panică?
- Inject 5 — un tehnician real trebuie să intervină urgent. Cum demonstrează identitatea și autorizația fără să repete comportamentul atacatorului?
Ce măsori după exercițiu
- Procentul angajaților care observă identitatea externă și verifică printr-un canal independent.
- Timpul până la prima raportare și până la avertizarea celorlalte persoane vizate.
- Procentul participanților care refuză o sesiune remote neprogramată, chiar când povestea include urgență și date interne.
- Timpul necesar pentru izolarea dispozitivului, revocarea sesiunilor și identificarea activității din intervalul expus.
- Procentul tehnicienilor reali care urmează procesul de contact și verificare stabilit de organizație.
- Capacitatea echipei de a separa persoanele contactate, sesiunile acceptate și compromiterile confirmate.
Pentru Learning Awarely, Spring Ring este un scenariu bun de microlearning și simulare pe roluri: angajatul exersează oprirea și verificarea, help desk-ul oferă un traseu credibil, iar echipele tehnice răspund la o posibilă sesiune expusă. Rezultatul urmărit nu este memorarea numelui campaniei, ci un comportament repetabil când suportul apare pe neașteptate.