IT-pomoćni vishing pozivi, ukradeni tokeni sesija i prijave putem rezidencijalnih proxyja stoje iza vala krađe podataka i iznude usmjerenih na Microsoft 365 i druge SaaS račune, prema podacima tvrtke Arctic Wolf. Aktivnost se prati pod oznakom PREY-0058 i pokazuje značajne sličnosti s grupom za iznudu podataka koju Google Threat Intelligence Group označava kao UNC6671. Istraživači su naveli da se iznuda pojavila pod raznim imenima, uključujući BlackFile, Pink, Helix, Cinder i Redact, pri čemu se s umjerenom pouzdanošću smatra da je Cinder nastavak Pinka. Ciljane su prvenstveno američke organizacije iz građevine, inženjeringa, zdravstva, farmaceutike, nekretnina, financija i profesionalnih usluga, a napadi najčešće usmjeravaju na direktore, potpredsjednike i ostalo izvršno osoblje. Napad započinje telefonskim pozivom u kojem se napadač predstavlja kao interno IT osoblje, vodi žrtvu kroz postavljanje MFA, a zatim preusmjerava na lažnu stranicu za autentifikaciju koja prikuplja lozinku i odobrenje MFA te omogućuje krađu tokena sesije.