Account Microsoft 365 presi di mira da un nuovo cyberattacco

Un nuovo attacco informatico sta mettendo a rischio gli utenti di Microsoft 365 attraverso un sofisticato schema di phishing che sfrutta applicazioni di messaggistica come Signal e WhatsApp. La minaccia, individuata dall'azienda di cybersicurezza Volexity, vede hacker - presumibilmente di origine russa - impersonare funzionari governativi europei per ingannare dipendenti di organizzazioni impegnate in questioni legate all'Ucraina e ai diritti umani. La tecnica, particolarmente insidiosa perché sfrutta il protocollo OAuth, potrebbe potenzialmente estendersi a obiettivi più ampi, rappresentando un pericolo crescente per la sicurezza dei dati personali e aziendali.

I cybercriminali hanno sviluppato un approccio che fa leva sul fattore umano piuttosto che su vulnerabilità tecniche. Fingendosi rappresentanti di importanti istituzioni come la Missione dell'Ucraina presso l'Unione Europea, la Delegazione Permanente della Bulgaria alla NATO o la Rappresentanza Permanente della Romania all'Unione Europea, gli aggressori contattano le vittime predestinate con inviti apparentemente legittimi a videoconferenze su temi di rilevanza geopolitica.

In alcune varianti dell'attacco, la comunicazione inizia con un'email inviata da un account governativo ucraino precedentemente compromesso, seguita da contatti attraverso Signal o WhatsApp per costruire un rapporto di fiducia. Il livello di dettaglio nella creazione dei profili falsi dimostra una preparazione meticolosa, rendendo particolarmente difficile per le vittime identificare la natura fraudolenta delle comunicazioni.

L'elemento chiave della truffa è l'invio di istruzioni in formato PDF accompagnate da un link di phishing OAuth. Quando la vittima clicca sul collegamento, viene indirizzata a una pagina di accesso che simula l'autenticazione Microsoft, generando un codice che gli viene chiesto di condividere per partecipare alla riunione.

La vera insidia di questo attacco risiede nell'abuso del protocollo OAuth, un sistema di autenticazione legittimo che permette agli utenti di autorizzare applicazioni di terze parti ad accedere ai propri account senza condividere direttamente le credenziali. Questo meccanismo, progettato per aumentare la sicurezza, viene paradossalmente sfruttato per compromettere gli account.

Gli esperti di Volexity raccomandano l'implementazione di politiche di accesso condizionale per gli account Microsoft 365, limitando l'autenticazione solo ai dispositivi approvati e attivando avvisi di accesso. Tuttavia, la prima linea di difesa resta la consapevolezza degli utenti riguardo alle tattiche di ingegneria sociale utilizzate dai criminali informatici.

Microsoft

I segnali che possono far sospettare un tentativo di phishing includono messaggi insoliti o fuori carattere, soprattutto se provenienti da mittenti che si presumono affidabili, comunicazioni che provocano risposte emotive come paura o curiosità, e richieste urgenti o offerte troppo vantaggiose per essere vere. Le schermate dei messaggi condivise da Volexity mostrano piccoli errori grammaticali e di ortografia che potrebbero rivelare la natura fraudolenta delle comunicazioni.

Gli esperti di sicurezza consigliano di adottare una mentalità di "zero-trust" (fiducia zero), verificando sempre l'autenticità delle richieste attraverso canali alternativi prima di cliccare su link o aprire allegati, specialmente quando coinvolgono credenziali di accesso. La formazione continua del personale sulle minacce emergenti rappresenta un investimento fondamentale per qualsiasi organizzazione che desideri proteggere efficacemente i propri dati sensibili.

Sebbene questo particolare attacco abbia preso di mira principalmente organizzazioni legate all'Ucraina, la metodologia potrebbe facilmente essere adattata per colpire un pubblico più ampio, rendendo essenziale per tutti gli utenti di piattaforme cloud mantenere un elevato livello di vigilanza digitale. L'evoluzione costante delle tecniche di attacco richiede un approccio proattivo alla cybersicurezza, che vada oltre le tradizionali misure tecniche per includere anche la consapevolezza delle vulnerabilità umane.