Allerta phishing: false email RingCentral mirano agli utenti Microsoft 365
In Breve
- Cosa è la campagna di phishing di RingCentral?
- È un attacco che mira a rubare account Microsoft 365 tramite false email che impersonano RingCentral.
- Come funziona il phishing?
- Gli aggressori inviano email contraffatte che catturano token di autenticazione, eludendo la MFA.
- Quali altri servizi sono a rischio?
- Oltre a Microsoft 365, anche iCloud, Yahoo e Google Workspace sono vulnerabili.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. Questo attacco ha come obiettivo il furto di account, riuscendo a bypassare anche i sistemi di autenticazione a più fattori (MFA).
La minaccia si basa su una piattaforma di phishing-as-a-service nota come Greatness, che ha evoluto le sue tecniche da semplici strumenti di furto di credenziali a metodi capaci di acquisire token di autenticazione approvati dalla MFA. Oltre a Microsoft 365, questa piattaforma è in grado di attaccare anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing si presentano come notifiche di voicemail o richieste di valutazioni delle prestazioni, inviati da server non riconosciuti e che non rispettano i controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, dove i token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza dover seguire il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, visualizzare conversazioni su Teams, accedere a siti SharePoint e file su OneDrive, oltre a contatti e calendari. Questo attacco rappresenta una grave minaccia per la sicurezza dei dati degli utenti.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, che è stato attribuito al gruppo di hacker noto come ShinyHunters. Tuttavia, al momento non ci sono conferme ufficiali di questa connessione.
La piattaforma Greatness è attiva da almeno quattro anni e ha colpito utenti in vari paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese. Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing.
redazione
Autore di Azienda Italia.