In Breve
- Cosa è la campagna di phishing recente?
- Una campagna di phishing che colpisce utenti Microsoft 365 tramite email false di RingCentral.
- Qual è il metodo utilizzato dagli aggressori?
- Utilizzano una piattaforma di phishing-as-a-service chiamata Greatness per acquisire token MFA.
- Quali servizi sono a rischio?
- Oltre a Microsoft 365, anche iCloud, Yahoo e Google Workspace sono a rischio.
Una nuova e sofisticata campagna di phishing sta colpendo gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. Questo attacco, mirato a sottrarre account anche protetti da autenticazione a più fattori (MFA), rappresenta una minaccia significativa per la sicurezza informatica degli utenti.
Il metodo utilizzato dagli aggressori si basa su una piattaforma di phishing-as-a-service denominata Greatness. Questa tecnologia è evoluta nel tempo, passando da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Non solo gli account Microsoft 365 sono a rischio, ma anche quelli di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati come notifiche di voicemail o come richieste di valutazione delle prestazioni, inviati da server non riconosciuti. Queste comunicazioni risultano non conformi ai controlli SPF (Sender Policy Framework) e DMARC (Domain-based Message Authentication, Reporting & Conformance), rimandando a pagine di login contraffatte. Queste pagine sono progettate per catturare i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare caselle di posta Outlook, conversazioni su Teams e siti SharePoint, accedendo a file OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questo livello di accesso rappresenta un grave rischio per la privacy e la sicurezza delle informazioni sensibili degli utenti.
Si sospetta che gli aggressori abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters. Tuttavia, questa connessione non è stata confermata ufficialmente. La piattaforma Greatness, attiva da almeno quattro anni, ha preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, è possibile trovare offerte per l’accesso a questa piattaforma in vendita su canali Telegram, con prezzi che si aggirano intorno ai 289 dollari al mese.
Al momento, non sono disponibili dati sul numero complessivo delle vittime di questo attacco. Tuttavia, è fondamentale che gli utenti di Microsoft 365 e di altri servizi online rimangano vigili e adottino misure di sicurezza adeguate per proteggere i propri account.
