Attacco di phishing: email false di RingCentral mirano a utenti Microsoft 365
In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre account, aggirando l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per questo attacco?
- La piattaforma si chiama Greatness, specializzata in phishing-as-a-service.
- Come possono gli utenti proteggersi?
- Gli utenti devono prestare attenzione a email sospette e verificare sempre l'autenticità delle comunicazioni.
Una recente campagna di phishing ha preso di mira gli utenti di Microsoft 365, utilizzando email che impersonano RingCentral per sottrarre account, anche quando protetti da autenticazione a più fattori (MFA). Questo attacco sfrutta una piattaforma di phishing-as-a-service chiamata Greatness, che ha evoluto le sue tecniche da semplici furti di credenziali a sistemi sofisticati in grado di acquisire token di autenticazione approvati dalla MFA.
I messaggi ingannevoli, presentati come notifiche di voicemail o richieste di valutazione delle prestazioni, vengono inviati da server non riconosciuti e risultano non conformi ai controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, progettate per catturare i token MFA e consentire agli aggressori di accedere agli account senza completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, le conversazioni su Teams e i siti SharePoint, accedendo a file OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker ShinyHunters, anche se questa connessione non è stata confermata.
La piattaforma Greatness è attiva da almeno quattro anni e colpisce utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno a 289 dollari al mese. Non ci sono dati disponibili sul numero complessivo delle vittime di questa campagna di phishing.
Per proteggere i propri account, gli utenti sono invitati a prestare attenzione a email sospette e a verificare sempre l’autenticità delle comunicazioni ricevute, specialmente quelle che richiedono l’inserimento di credenziali o informazioni personali.
