In questo articolo Indice dei contenuti 3 sezioni
Microsoft ha smontato EvilTokens, un servizio criminale venduto ad abbonamento che metteva insieme intelligenza artificiale e tecniche di phishing particolarmente raffinate per prendere il controllo di account aziendali e usarli poi come trampolino per frodi finanziarie. Il dato che ha colpito di più gli analisti di Redmond non è tanto il numero di vittime, pur consistente, quanto la velocità con cui un account appena violato veniva immediatamente arruolato nelle truffe. Una rapidità che con il lavoro manuale non sarebbe stata possibile e che si spiega proprio con l’automazione spinta. I numeri raccolti durante le indagini parlano di circa 12.000 account compromessi in pochi mesi, distribuiti su oltre 10.000 aziende diverse. Non si tratta quindi di un attacco mirato a una singola organizzazione, ma di una rete industriale, costruita per macinare vittime su scala.
Un servizio in abbonamento, venduto su Telegram
La parte forse più spiazzante della vicenda è la normalità commerciale con cui EvilTokens veniva proposto. Non serviva frequentare angoli oscuri della rete, bastava un canale dedicato su Telegram. Lì il pacchetto era descritto come un’offerta completa, con tutte le funzionalità e le tecnologie necessarie al furto di identità digitali già pronte all’uso.
Il modello di prezzo ricalcava quello di un qualsiasi software aziendale. Una quota di accesso iniziale di circa 1.300 euro, poi un canone mensile intorno ai 430 euro. In cambio, i clienti ricevevano strumenti automatizzati per lanciare campagne di phishing e per analizzare le caselle di posta una volta violate, in modo da capire in fretta quali contatti e quali conversazioni valesse la pena sfruttare. È la logica del cybercrimine come servizio, dove chi sviluppa gli strumenti non è necessariamente chi li usa. Il risultato è che anche criminali con competenze tecniche modeste possono mettere in piedi operazioni sofisticate, pagando un abbonamento.
Come funzionava il trucco del device code
Il meccanismo di attacco si appoggiava al sistema di autenticazione tramite device code, una modalità di accesso basata su OAuth pensata per i dispositivi con possibilità di input ridotte. Smart TV, console, terminali vari. In questi casi l’utente riceve un codice sullo schermo e lo inserisce da un altro dispositivo, su una pagina ufficiale, per autorizzare l’accesso.
Gli operatori di EvilTokens hanno ribaltato questa comodità a proprio vantaggio. Le vittime venivano spinte a digitare un codice su una pagina Microsoft autentica, convinte di stare completando una procedura legittima, magari legata al lavoro quotidiano. Non c’era alcun sito clonato da riconoscere, nessun dominio storto che potesse far scattare il sospetto. Il dominio era quello vero, e questo rendeva l’inganno molto più difficile da individuare anche per utenti attenti. Il punto è che quel passaggio, all’apparenza innocuo, autorizzava in realtà dispositivi controllati dagli attaccanti ad accedere all’account. Da quel momento in poi la porta era aperta.
Il ruolo dell’intelligenza artificiale nelle frodi
Qui entra in gioco la componente che ha dato il nome alla vicenda. Una volta ottenuto l’accesso, interveniva un chatbot capace di setacciare in tempi ridottissimi enormi quantità di dati, con le stesse capacità di analisi quasi istantanea che caratterizzano piattaforme come ChatGPT e Gemini.
Tradotto in pratica, significa che la casella di posta di un’azienda compromessa veniva letta, classificata e sfruttata nel giro di pochissimo. Fatture, scambi con fornitori, richieste di pagamento, nomi dei referenti amministrativi. Tutto materiale prezioso per confezionare messaggi credibili e dirottare bonifici verso conti controllati dai criminali. L’automazione ha eliminato il collo di bottiglia che storicamente rallentava questo tipo di attacchi, ovvero il tempo necessario a un operatore umano per capire cosa farsene di un account rubato. Con l’intelligenza artificiale quel passaggio si comprime a pochi istanti, e la finestra utile per accorgersi dell’intrusione e bloccarla si restringe di conseguenza. Microsoft ha ricondotto a questa infrastruttura l’intera catena, dal canale di vendita agli strumenti automatizzati, procedendo poi allo smantellamento della rete.
Fonte: TecnoAndroid
