In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre account Microsoft 365, anche se protetti da MFA.
- Qual è la piattaforma utilizzata per il phishing?
- La piattaforma si chiama Greatness e permette di acquisire token di autenticazione.
- Chi sono i possibili autori di questo attacco?
- Si sospetta che il gruppo ShinyHunters possa essere coinvolto, ma non ci sono conferme ufficiali.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. Questa strategia ha l’obiettivo di sottrarre account, anche quando protetti da autenticazione a più fattori (MFA).
L’attacco si basa su una piattaforma di phishing-as-a-service chiamata Greatness, che ha evoluto le sue capacità da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Non solo gli account Microsoft 365 sono nel mirino, ma anche quelli di iCloud, Yahoo e Google Workspace.
I messaggi di phishing vengono presentati come notifiche di voicemail o valutazioni delle prestazioni e sono inviati da server non riconosciuti. Queste email risultano non conformi ai controlli SPF e DMARC, rimandando a pagine di login contraffatte che catturano i token MFA. Ciò consente agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint, accedendo anche a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati nel recente data breach di RingCentral, attribuito al gruppo ShinyHunters, anche se questa connessione non è stata confermata ufficialmente. La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in vari paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno a 289 dollari al mese.
Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing. Tuttavia, gli esperti di sicurezza informatica avvertono che gli utenti devono prestare particolare attenzione a email sospette e verificare sempre l’autenticità delle comunicazioni ricevute.
