Un apel telefonic a deschis un cont SSO: ce arată cazul Abbott despre limitele autentificării unice
ShinyHunters susține că a intrat la Abbott printr-un apel de vishing care a compromis un cont Entra SSO. Ce înseamnă asta pentru identitate și MFA.
Pe 16 iulie 2026, Abbott Laboratories a confirmat că investighează un acces neautorizat în sisteme interne moștenite din zona de diagnostic oncologic. Gruparea de extorcare ShinyHunters a revendicat atacul și a declarat pentru BleepingComputer că a obținut accesul la mijlocul lui iunie printr-un atac de vishing — fraudă prin apel telefonic — asupra unor angajați, compromițând un cont corporativ de Microsoft Entra folosit pentru autentificare unică (SSO), din care a exfiltrat apoi date din aplicațiile conectate.
De ce contează mecanismul, dincolo de cifre
Partea instructivă nu este volumul revendicat, ci lanțul: un apel telefonic → un cont de identitate → acces la tot ce atârnă de acel cont. Autentificarea unică este, prin construcție, un multiplicator: îi dă utilizatorului o singură ușă către zeci de aplicații. Ceea ce este comoditate pentru angajat devine rază de acțiune pentru atacator. Când cade contul SSO, nu cade o aplicație, ci portofoliul întreg conectat la el.
Al doilea element este ținta: sisteme „moștenite". Infrastructura vizată provenea, potrivit relatărilor, dintr-o achiziție încheiată în martie 2026. Sistemele preluate prin fuziuni și achiziții sunt un punct slab clasic — intră în perimetru înainte să intre în programul de securitate, iar inventarul, monitorizarea și politicile de acces ajung la ele ultimele, dacă ajung.
De ce vishing-ul funcționează chiar și pe oameni atenți
Vishing-ul nu exploatează prostia, ci contextul. Un apel are ceea ce un email nu are: presiune de timp în timp real, o voce care poate răspunde la ezitări, și autoritate aparentă („sunt de la IT, avem un incident, trebuie să confirmi acum"). Adăugați detalii reale despre organizație — nume de colegi, denumirea unui proiect, un ticket recent — și verificarea devine dificilă exact în momentul în care ar fi cea mai necesară. În România, DNSC raporta că 42% dintre raportările din primul semestru 2026 au fost fraude telefonice, deci tiparul nu este exotic, ci dominant.
De remarcat că un al doilea factor de autentificare nu este automat o apărare împotriva vishing-ului: dacă atacatorul te ține la telefon și îți cere codul, sau te bombardează cu notificări push până accepți una din oboseală, factorul al doilea a fost pur și simplu recoltat. Diferența o fac factorii rezistenți la phishing.
Ce reduce concret acest risc
- Factori rezistenți la phishing (FIDO2 / chei de securitate / passkeys) pe conturile privilegiate și pe cele cu acces larg prin SSO — un cod nu poate fi dictat la telefon dacă nu există cod.
- O regulă organizațională clară și repetată: nimeni, niciodată, nu cere prin telefon un cod de autentificare sau o aprobare push. Regula trebuie să fie cunoscută înainte de apel, nu descoperită în timpul lui.
- Un canal de verificare inversă (call-back) pe un număr din directorul intern, nu pe numărul de la care s-a sunat.
- Number matching și limitarea notificărilor push repetate, ca să nu funcționeze epuizarea prin insistență.
- Inventar și integrare în programul de securitate a sistemelor preluate prin achiziții — inclusiv conturile de serviciu și integrările vechi care încă au acces.
- Monitorizarea comportamentului conturilor SSO: autentificări din locații imposibile, acces brusc la aplicații neatinse anterior, exporturi masive.
- Un canal de raportare fără vină: cine a fost sunat și a ezitat trebuie să poată spune imediat, fără teama de a fi certat.
Legătura cu instruirea, făcută onest
Un training nu împiedică un apel de vishing bine construit. Ce poate face, realist, este să scurteze intervalul dintre „mi s-a părut ciudat" și „am raportat" — iar în incidentele bazate pe identitate, acel interval este adesea diferența dintre un cont blocat la timp și o exfiltrare descoperită peste săptămâni. Exercițiile de simulare ajută cel mai mult atunci când sunt tratate ca antrenament, nu ca test de pedepsit: scopul este reflexul de a verifica, nu procentul de „prinși".
Concluzia pentru orice organizație care folosește SSO: tratați contul de identitate ca pe activul critic care este. Perimetrul nu mai este rețeaua, ci contul — iar acel cont poate fi sunat la telefon.