Campagna di phishing: false email RingCentral colpiscono utenti Microsoft 365
Una nuova campagna di phishing utilizza email false di RingCentral per attaccare utenti Microsoft 365, aggirando la protezione MFA.
In Breve
- Che tipo di attacco è in corso?
- Una campagna di phishing che utilizza email false di RingCentral per colpire utenti Microsoft 365.
- Come funziona il phishing?
- Gli attaccanti inviano email contraffatte che catturano token di autenticazione, aggirando la MFA.
- Qual è l'origine della piattaforma di phishing?
- La piattaforma Greatness è attiva da almeno quattro anni e offre servizi di phishing-as-a-service.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni di RingCentral. Questo attacco è particolarmente insidioso, poiché riesce a sottrarre credenziali anche da account protetti da autenticazione a più fattori (MFA).
Il meccanismo di attacco si basa su una piattaforma di phishing-as-a-service chiamata Greatness, che ha evoluto le sue funzionalità da un semplice strumento di furto di credenziali a un sistema capace di acquisire token di autenticazione approvati dalla MFA. Non solo Microsoft 365 è nel mirino: anche account iCloud, Yahoo e Google Workspace sono vulnerabili a questo tipo di attacco.
I messaggi di phishing, che si presentano come notifiche di voicemail o richieste di valutazione delle prestazioni, vengono inviati da server non riconosciuti e non rispettano i controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, progettate per catturare i token MFA, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare caselle di posta Outlook, visualizzare conversazioni su Teams, accedere a siti SharePoint e consultare file su OneDrive, oltre a contatti e calendari. Le applicazioni registrate tramite Microsoft Graph non sono al sicuro da questo tipo di intrusione.
Si sospetta che gli aggressori possano aver sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters. Tuttavia, al momento non esiste una conferma ufficiale di questa connessione.
La piattaforma Greatness è attiva da almeno quattro anni e ha colpito utenti in diverse nazioni, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, è possibile acquistare l’accesso a questa piattaforma su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese.
Nonostante la gravità della situazione, al momento non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing. Gli esperti di sicurezza informatica raccomandano di prestare particolare attenzione alle email sospette e di verificare sempre l’autenticità delle comunicazioni ricevute.
