In Breve
- Cos'è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre credenziali, aggirando l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per questo attacco?
- La piattaforma utilizzata è chiamata Greatness, un servizio di phishing-as-a-service.
- Quali altri servizi possono essere colpiti?
- Oltre a Microsoft 365, possono essere colpiti anche iCloud, Yahoo e Google Workspace.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. L’obiettivo di questo attacco è sottrarre credenziali di accesso, anche da account protetti tramite autenticazione a più fattori (MFA).
Il meccanismo alla base di questa operazione malevola si basa su una piattaforma di phishing-as-a-service nota come Greatness. Questa tecnologia è evoluta da un semplice strumento di furto di credenziali a un sistema complesso in grado di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, l’attacco può colpire anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati come notifiche di voicemail o valutazioni delle prestazioni e vengono inviati da server non riconosciuti. Questi messaggi risultano non conformi ai controlli SPF e DMARC, indirizzando gli utenti verso pagine di login contraffatte. Tali pagine sono progettate per catturare i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare caselle di posta Outlook, conversazioni su Teams e siti SharePoint. Inoltre, possono accedere a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questo rappresenta una grave minaccia per la sicurezza dei dati degli utenti.
Si sospetta che gli aggressori possano aver sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters. Tuttavia, questa connessione non è stata ufficialmente confermata.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese.
Al momento, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing, ma la situazione evidenzia l’importanza di rimanere vigili e adottare misure di sicurezza adeguate per proteggere i propri account online.
