In Breve
- Cosa è la campagna di phishing attuale?
- Una campagna di phishing colpisce gli utenti Microsoft 365 tramite false email di RingCentral.
- Come funziona il phishing?
- Utilizza pagine di login contraffatte per catturare credenziali e token MFA.
- Qual è l'origine della piattaforma di phishing?
- La piattaforma Greatness è attiva da almeno quattro anni ed è disponibile su canali Telegram.
Una nuova allerta di sicurezza è stata lanciata per gli utenti di Microsoft 365, poiché una campagna di phishing sta prendendo di mira gli account attraverso email che si spacciano per comunicazioni di RingCentral. Questa strategia fraudolenta è progettata per sottrarre credenziali di accesso, eludendo anche i sistemi di autenticazione a più fattori (MFA) che proteggono gli account.
Il meccanismo alla base di questo attacco è una piattaforma di phishing-as-a-service denominata Greatness. Questo servizio ha evoluto le sue capacità, passando da un semplice strumento di furto di credenziali a una sofisticata infrastruttura in grado di acquisire i token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, gli attaccanti possono colpire anche account di altre piattaforme, tra cui iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati sotto forma di notifiche di voicemail o valutazioni delle prestazioni e vengono inviati da server non riconosciuti. Queste email non rispettano i controlli SPF e DMARC, rendendo più facile per gli utenti cadere nella trappola. I link contenuti nelle email rimandano a pagine di login contraffatte, dove gli utenti vengono indotti a inserire le proprie credenziali e i token MFA, consentendo così agli aggressori di accedere agli account senza dover seguire il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono esplorare le caselle di posta Outlook, le conversazioni su Teams, i siti SharePoint e accedere a file su OneDrive, oltre a contatti e calendari. Questo tipo di attacco rappresenta una grave minaccia per la sicurezza dei dati aziendali e personali.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al noto gruppo di hacker ShinyHunters, sebbene questa connessione non sia stata ufficialmente confermata. La piattaforma Greatness è attiva da almeno quattro anni e ha già preso di mira utenti in vari paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, il servizio è disponibile anche su canali Telegram, con abbonamenti pubblicizzati a circa 289 dollari al mese.
Fino ad ora, non sono stati resi noti dati sul numero complessivo delle vittime in Italia, ma l’allerta è alta e gli utenti sono invitati a prestare particolare attenzione alle email sospette e a monitorare le proprie attività online.
