In Breve
- Che cos'è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email contraffatte di RingCentral per sottrarre account, aggirando l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per questo attacco?
- Gli attaccanti utilizzano una piattaforma di phishing-as-a-service chiamata Greatness.
- Quali misure di sicurezza possono adottare gli utenti?
- Gli utenti dovrebbero rimanere vigili e adottare misure di sicurezza adeguate per proteggere i propri account.
Una nuova e sofisticata campagna di phishing è emersa, prendendo di mira gli utenti di Microsoft 365 con email che si spacciano per comunicazioni ufficiali di RingCentral. L’obiettivo di questo attacco è sottrarre gli account degli utenti, anche quelli protetti da autenticazione a più fattori (MFA).
La strategia utilizzata dagli attaccanti si basa su una piattaforma di phishing-as-a-service nota come Greatness. Questo strumento, evolutosi nel tempo, è in grado di non solo rubare credenziali, ma anche di acquisire token di autenticazione approvati dalla MFA. L’attacco non si limita a Microsoft 365, ma colpisce anche altri servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati come notifiche di voicemail o valutazioni delle prestazioni e vengono inviati da server non riconosciuti. Queste email risultano non conformi ai controlli SPF e DMARC, rimandando a pagine di login contraffatte. Queste pagine sono progettate per catturare i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint, accedendo anche a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph.
Si sospetta che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters. Tuttavia, questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in vari paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno a 289 dollari al mese. Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing.
In un contesto in cui la sicurezza informatica è sempre più critica, è fondamentale che gli utenti di Microsoft 365 e di altri servizi online rimangano vigili e adottino misure di sicurezza adeguate per proteggere i propri account e le proprie informazioni personali.
