一通听起来足够可信的电话，就足以打开通往公司网络的一条路。Scattered Spider 黑客组织反复使用社会工程手段，说服企业服务台的工作人员重置密码，或者把多因素认证（MFA）迁移到攻击者控制的设备上。
他们并不直接攻破安全技术本身，而是利用那套原本为帮助员工恢复访问权限而设计的支持流程。一次例行的账号找回，就这样变成了严重的安全风险。
攻击者可能冒充一名丢失手机、更换号码，或者在重要会议前被锁在账号外的员工。从公开来源和窃取数据中收集到的个人信息，能让这套说辞听起来相当真实。一旦支持人员把这些细节当作身份证明接受，攻击者就可能拿到该员工的账号，并由此触及其他公司服务。
问题出在“改绑”流程
MFA 要求用户用不止一种方式证明身份，比如密码加手机提示。但如果攻击者说服服务台重置了账号，或注册了一台新的认证设备，他就有可能像真正的员工一样通过下一次登录检查。
薄弱环节未必是 MFA 产品本身，而可能是更改账号所绑定认证方式的那套流程。Scattered Spider 的操作者往往会先从职业档案、公司网站、泄露数据或其他公开来源收集目标信息，然后致电支持人员，声称自己无法使用常用设备。
一次成功的重置，可能让他们进入邮箱、单点登录（SSO）门户、虚拟专用网络和云服务。Flare 的研究人员，包括网络安全研究员 Jon DiMaggio，将 Scattered Spider 描述为一个入侵集群，专门利用社会工程攻击服务台、身份系统和账号恢复流程。他们把这条路径称为以人为中心的入口，而不是依赖某个新软件漏洞的攻击行动。
这套手法常与其他施压或欺骗用户的方式一同出现：
- MFA 疲劳攻击：反复发送登录提示，指望疲惫或分心的员工点下同意。
- SIM 卡交换攻击：试图控制用于接收验证码的手机号码。
- 致电服务台，说服工作人员重置密码或 MFA 令牌。
CISA 及其合作伙伴已记录下这些技术。相关报道也多次涉及服务台 MFA 绕过手法，包括冒充身份如何导致账号被访问。这些案例说明，企业应把身份恢复视为安全边界的一部分，而不是一项例行的服务任务。
拿到账号之后能做什么
一次成功的账号接管，可以成为进一步活动的立足点。攻击者可能访问公司服务、谋求更高权限、建立保留访问权的方式，或者使用合法的远程管理工具。这让他们的活动更难与正常的 IT 工作区分开来。在某些情况下，访问之后紧接着是数据窃取与勒索，或部署勒索软件。
影响可能超出第一个被攻陷的账号。如果该账号通过 SSO 或管理工具拥有广泛权限，攻击者或许无需逐一攻破就能触达多个系统。不过，任何入侵的规模都取决于受害者的权限、安全控制和响应速度；一次服务台重置并不自动意味着整个网络沦陷。
Flare 的报告还就归因做了一个重要区分：服务台语音钓鱼如今已被更广泛的网络犯罪生态中的行为者使用，因此单凭这一点，不应被视为 Scattered Spider 参与的确证。调查人员需要评估全貌，包括技术证据、基础设施和其他行为。这种谨慎，对企业报告事件以及读者判断威胁行为者的说法都很重要。
该怎么补这个洞
CISA 建议采用抗钓鱼的 MFA，包括 FIDO/WebAuthn 或基于公钥的方法，因为这类方法在设计上能抵御钓鱼，不像某些方式那样容易受到推送轰炸或 SIM 卡交换攻击。
组织还应强化服务台在更改密码、电话号码或 MFA 方式之前核实身份的方式。更安全的重置流程应使用可信的第二通道，或档案中已登记的已验证联系方式，而不是来电者在电话中提供的细节。高风险变更可以要求经理或安全团队批准，员工也应接受培训，在来电者制造紧迫感或要求绕过常规检查时先停下来。
公司还应对异常的 MFA 注册、反复出现的提示，以及账号恢复后紧跟陌生登录等情况发出告警。核心教训很直接：MFA 依然有价值，但它无法弥补一个薄弱的恢复流程。安全团队需要保护的，不只是执行认证的设备与应用，还有掌控账号访问权的人和流程。
Scattered Spider 的剧本说明，一个熟悉的声音加上一个可信的故事，就能把一次客服互动变成通往企业系统的路径。
热门跟贴