O atacante liga, conduz a pessoa até um login idêntico ao da empresa e assiste ela digitar.
A Mandiant detalhou os domínios e os kits usados: páginas que reproduzem o login único da vítima e retransmitem senha e código de autenticação em tempo real.
Vishing com SSOA Mandiant descreveu o método que o ShinyHunters e grupos associados vêm usando desde o início de 2026. O ataque começa por telefone: alguém se apresenta como equipe de TI e orienta o funcionário a acessar um endereço que reproduz a página de login única da própria empresa. Os domínios seguem padrões previsíveis, como nomedaempresasso.com e nomedaempresainternal.com.
Os kits de phishing usados permitem exibir caixas de diálogo interativas enquanto o criminoso conversa com a vítima. As credenciais digitadas são retransmitidas em tempo real para o serviço legítimo, e o atacante conduz a pessoa pelas etapas de aprovação da autenticação de múltiplos fatores, chegando a registrar dispositivos próprios.
A Mandiant acompanha a atividade em três conjuntos distintos, com registradores de domínio e táticas de extorsão diferentes entre si. Circula em blogs de fornecedores a cifra de 400 empresas atingidas, que não foi possível confirmar em fonte independente e por isso não é reproduzida aqui.
Autenticação de múltiplos fatores não falhou: ela foi usada corretamente, por uma pessoa convencida. O fator que faltou é o procedimento de retorno, ninguém aprova código em chamada recebida, só em chamada feita pelo número cadastrado.
