In Breve
- Qual è l'obiettivo della campagna di phishing?
- Sottrarre account Microsoft 365 anche protetti da autenticazione a più fattori.
- Che cos'è la piattaforma Greatness?
- Un servizio di phishing-as-a-service che consente di acquisire token di autenticazione.
- Come riconoscere le email di phishing?
- Controllare l'indirizzo del mittente e la conformità ai controlli SPF e DMARC.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. L’obiettivo di questo attacco è sottrarre informazioni sensibili, anche da account protetti da autenticazione a più fattori (MFA).
Il metodo impiegato dagli aggressori si basa su una piattaforma di phishing-as-a-service chiamata Greatness. Questa piattaforma ha evoluto le sue capacità, passando da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, gli attaccanti possono colpire anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati come notifiche di voicemail o richieste di valutazione delle prestazioni. Queste email vengono inviate da server non riconosciuti e non rispettano i controlli SPF e DMARC, rendendole facilmente identificabili come truffe. Tuttavia, gli utenti potrebbero non rendersi conto del pericolo e cliccare sui link contenuti nei messaggi, che rimandano a pagine di login contraffatte. Queste pagine sono progettate per catturare i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare caselle di posta Outlook, visualizzare conversazioni su Teams e accedere a siti SharePoint. Inoltre, possono consultare file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questo accesso non autorizzato può portare a gravi violazioni della privacy e della sicurezza dei dati.
Si sospetta che gli aggressori abbiano potuto sfruttare indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters, anche se questa connessione non è stata confermata. La piattaforma Greatness è attiva da almeno quattro anni e ha già preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, questa piattaforma è anche in vendita su canali Telegram, con abbonamenti pubblicizzati a circa 289 dollari al mese.
Al momento, non sono disponibili dati ufficiali sul numero complessivo delle vittime di questa campagna di phishing. Tuttavia, è fondamentale che gli utenti di Microsoft 365 e di altri servizi online rimangano vigili e adottino misure di sicurezza adeguate per proteggere i propri account.