In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email contraffatte di RingCentral per sottrarre credenziali degli utenti.
- Qual è la piattaforma utilizzata per questo attacco?
- Gli aggressori utilizzano una piattaforma di phishing chiamata Greatness.
- Come possono gli utenti proteggersi da questi attacchi?
- È consigliato utilizzare password forti e attivare l'autenticazione a più fattori.
Una nuova campagna di phishing sta colpendo gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. Questo attacco è progettato per sottrarre credenziali degli utenti, anche quando sono protetti da autenticazione a più fattori (MFA).
Il meccanismo alla base di questo attacco si basa su una piattaforma di phishing-as-a-service chiamata Greatness. Questa tecnologia è evoluta da un semplice strumento di furto di credenziali a un sistema sofisticato in grado di acquisire token di autenticazione approvati dalla MFA. Non solo Microsoft 365 è nel mirino, ma anche account di servizi come iCloud, Yahoo e Google Workspace.
Le email inviate da questa campagna si presentano come notifiche di voicemail o richieste di valutazione delle prestazioni. Tuttavia, sono inviate da server non riconosciuti e non rispettano i controlli SPF e DMARC, rendendo evidente la loro natura fraudolenta. Questi messaggi rimandano a pagine di login contraffatte, dove i token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint. Inoltre, possono accedere a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questo rappresenta un grave rischio per la sicurezza delle informazioni aziendali e personali degli utenti.
Si sospetta che gli aggressori possano aver sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters, anche se questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, viene proposta in vendita su canali Telegram, con abbonamenti pubblicizzati a circa 289 dollari al mese. Al momento, non sono disponibili dati sul numero complessivo delle vittime di questa campagna.
È fondamentale che gli utenti di Microsoft 365 e di altri servizi online rimangano vigili e adottino misure di sicurezza adeguate per proteggere i propri account. L’uso di password forti, l’attivazione della MFA e la verifica delle email ricevute sono passi essenziali per prevenire attacchi di phishing.
