新一轮攻击浪潮将语音钓鱼与SSO滥用相结合，以勒索SaaS平台。网络犯罪分子致电员工，冒充技术支持，并在数秒内获取MFA验证码。通过访问SSO，他们提升权限并横向移动，使企业毫无反应时间。
针对联合SSO的社会工程学攻击方式 🛡️
该攻击利用了联合认证流程中的信任。语音钓鱼诱骗用户泄露其密码和MFA应用验证码。一旦进入SSO，攻击者便获得有效的会话令牌。随后，他们利用内部API在Slack或Salesforce等SaaS应用中创建管理员账户，而不会触发可疑登录警报。
年度最佳员工：在电话中交出MFA验证码的人 📞
有趣的是，企业在防火墙上一掷千金，结果员工却因对方听起来非常专业而交出双重验证码。攻击者只需一个脚本和耐心。与此同时，CISO检查日志时还以为是技术故障。真正的防火墙其实是不要接听陌生号码的来电。