Phishing mirato a utenti Microsoft 365 tramite false email di RingCentral
In Breve
- Qual è l'obiettivo della campagna di phishing?
- Sottrarre account Microsoft 365 tramite email false di RingCentral.
- Come funziona la piattaforma di phishing Greatness?
- Acquisisce token di autenticazione MFA e colpisce vari servizi, tra cui iCloud e Google Workspace.
- Quali sono i rischi per gli utenti?
- Accesso non autorizzato a email, file e dati sensibili su Microsoft 365.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. Questo attacco è particolarmente insidioso poiché riesce a eludere i protocolli di sicurezza, come l’autenticazione a più fattori (MFA), mettendo a rischio numerosi account.
Il metodo utilizzato dagli attaccanti si basa su una piattaforma di phishing-as-a-service nota come Greatness. Questa tecnologia ha evoluto il suo approccio, passando da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, la piattaforma è in grado di colpire anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono progettati per apparire come notifiche di voicemail o valutazioni delle prestazioni e vengono inviati da server non riconosciuti. Queste email non rispettano i controlli SPF e DMARC, elementi fondamentali per garantire l’autenticità delle comunicazioni via email. Gli utenti sono quindi indirizzati a pagine di login contraffatte, dove i loro token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti hanno la possibilità di esplorare caselle di posta Outlook, conversazioni su Teams e siti SharePoint. Inoltre, possono accedere a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph, aumentando notevolmente il rischio di compromissione dei dati sensibili.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters. Tuttavia, non ci sono conferme ufficiali riguardo a questa connessione. La piattaforma Greatness è attiva da almeno quattro anni e ha già preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese.
Al momento, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing, ma l’allerta rimane alta tra gli esperti di sicurezza informatica. Gli utenti sono invitati a prestare particolare attenzione alle email sospette e a verificare sempre l’autenticità delle comunicazioni prima di fornire informazioni sensibili.