In Breve
- Qual è l'obiettivo della campagna di phishing?
- Furto di account Microsoft 365 tramite email false di RingCentral.
- Che cos'è la piattaforma Greatness?
- Una piattaforma di phishing-as-a-service che consente di acquisire token di autenticazione.
- Quali altri servizi sono a rischio?
- iCloud, Yahoo e Google Workspace sono anche bersagli di questa campagna.
Campagna di phishing sfrutta false email RingCentral per attaccare utenti Microsoft 365
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che impersonano il noto servizio RingCentral. Questa strategia ha come obiettivo il furto di account, anche quando protetti da autenticazione a più fattori (MFA).
L’attacco si basa su una piattaforma di phishing-as-a-service nota come Greatness, che ha evoluto le sue capacità da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, questa piattaforma è in grado di colpire anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing, presentati come notifiche di voicemail o valutazioni delle prestazioni, vengono inviati da server non riconosciuti e non rispettano i controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, dove i token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono esplorare le caselle di posta Outlook, le conversazioni su Teams, i siti SharePoint e accedere a file su OneDrive, contatti e calendari, oltre ad applicazioni registrate tramite Microsoft Graph.
Si sospetta che gli aggressori abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al gruppo di hacker ShinyHunters, anche se questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in paesi come Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, è in vendita su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese.
Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing, ma l’allerta è alta tra gli utenti di Microsoft 365 e altre piattaforme colpite.
