In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- Una campagna di phishing utilizza false email di RingCentral per rubare account Microsoft 365, aggirando l'autenticazione a più fattori.
- Come funziona il phishing-as-a-service Greatness?
- Greatness permette di acquisire token di autenticazione MFA e colpire account di diversi servizi, inclusi iCloud e Google Workspace.
- Quali misure di sicurezza adottare per proteggere il proprio account?
- È importante verificare l'autenticità delle email e utilizzare sempre l'autenticazione a più fattori.
Negli ultimi giorni, una campagna di phishing ha iniziato a colpire gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. Questo attacco è particolarmente insidioso, in quanto riesce a bypassare le misure di sicurezza come l’autenticazione a più fattori (MFA).
La strategia degli attaccanti si basa su una piattaforma nota come Greatness, un servizio di phishing-as-a-service che ha evoluto le sue capacità da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione MFA. Questo permette agli aggressori di accedere a non solo agli account Microsoft, ma anche a quelli di iCloud, Yahoo e Google Workspace.
I messaggi di phishing, che si presentano come notifiche di voicemail o richieste di valutazione delle prestazioni, vengono inviati da server non riconosciuti e non rispettano i controlli SPF e DMARC. Quando gli utenti cliccano sui link contenuti nelle email, vengono reindirizzati a pagine di login contraffatte, dove i loro token MFA vengono catturati, consentendo agli attaccanti di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli aggressori possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint, accedendo a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Questa violazione della sicurezza rappresenta un grave rischio per le informazioni personali e aziendali degli utenti.
È possibile che gli attaccanti abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters, sebbene questa connessione non sia stata confermata. La piattaforma Greatness è attiva da almeno quattro anni e colpisce utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, il servizio è in vendita su canali Telegram, con abbonamenti pubblicizzati a circa 289 dollari al mese.
Nonostante la gravità della situazione, al momento non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing. Gli utenti sono quindi invitati a prestare la massima attenzione e a rimanere vigili per proteggere i propri account.
