In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre account Microsoft 365, aggirando anche l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per il phishing?
- La campagna si basa sulla piattaforma di phishing-as-a-service chiamata Greatness.
- Come possono gli utenti proteggersi?
- È consigliato utilizzare password forti e attivare la verifica in due passaggi.
Una nuova e sofisticata campagna di phishing sta colpendo gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. L’obiettivo di questo attacco è sottrarre gli account degli utenti, anche quando questi sono protetti da sistemi di autenticazione a più fattori (MFA).
Questa operazione malevola si basa su una piattaforma di phishing-as-a-service nota come Greatness, che ha evoluto le sue capacità da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, gli attaccanti possono colpire anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing vengono presentati come notifiche di voicemail o valutazioni delle prestazioni e sono inviati da server non riconosciuti. Questi messaggi non rispettano i controlli SPF e DMARC, il che li rende facilmente identificabili come fraudolenti. Tuttavia, rimandano a pagine di login contraffatte che catturano i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint. Inoltre, possono accedere a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questo rappresenta una grave minaccia per la sicurezza dei dati aziendali e personali.
Si sospetta che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters. Tuttavia, al momento non ci sono conferme ufficiali su questa connessione.
La piattaforma Greatness è attiva da almeno quattro anni e prende di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. È anche proposta in vendita su canali Telegram, con offerte pubblicizzate intorno a 289 dollari al mese. Attualmente, non ci sono dati disponibili sul numero complessivo delle vittime di questa campagna di phishing.
È fondamentale che gli utenti di Microsoft 365 e di altri servizi online rimangano vigili e adottino misure di sicurezza adeguate per proteggere i propri account. L’uso di password forti, la verifica in due passaggi e la formazione sulla sicurezza informatica possono aiutare a ridurre il rischio di cadere vittime di attacchi di phishing.
