In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- Si tratta di un attacco che utilizza email false di RingCentral per sottrarre informazioni sensibili, bypassando l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per questo attacco?
- La campagna si basa sulla piattaforma di phishing-as-a-service chiamata Greatness.
- Come possono gli utenti proteggere i propri account?
- È fondamentale prestare attenzione alle email sospette e attivare sempre l'autenticazione a più fattori.
Una nuova allerta per gli utenti di Microsoft 365: una campagna di phishing sta prendendo di mira gli account attraverso email che si spacciano per comunicazioni di RingCentral. Questo attacco, che riesce a bypassare l’autenticazione a più fattori (MFA), rappresenta una minaccia seria per la sicurezza dei dati.
La campagna si basa su una piattaforma di phishing-as-a-service denominata Greatness, che è evoluta nel tempo, passando da un semplice strumento di furto di credenziali a un sistema sofisticato in grado di acquisire token di autenticazione approvati dalla MFA. Non solo Microsoft 365 è nel mirino, ma anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing vengono presentati come notifiche di voicemail o richieste di valutazione delle prestazioni e sono inviati da server non riconosciuti. Queste email non rispettano i controlli SPF e DMARC, rimandando a pagine di login contraffatte che catturano i token MFA, consentendo così agli aggressori di accedere agli account senza seguire il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint, accedendo anche a file OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters, anche se questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha colpito utenti in vari paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene proposta in vendita su canali Telegram, con abbonamenti pubblicizzati a circa 289 dollari al mese. Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna.
Per proteggere i propri account, gli utenti sono invitati a prestare particolare attenzione alle email ricevute e a non cliccare su link sospetti. È fondamentale mantenere aggiornate le misure di sicurezza e attivare sempre l’autenticazione a più fattori.
