In questo articolo Indice dei contenuti 2 sezioni
Gli account Microsoft 365 sono finiti di nuovo nel mirino, e stavolta il trucco passa da un nome che milioni di aziende conoscono bene. Una piattaforma di phishing venduta come servizio ha imparato a spacciarsi per RingCentral, il sistema di comunicazione usato per chiamate cloud, messaggistica e segreteria telefonica. Il risultato è una campagna cucita su misura per superare i filtri di sicurezza delle email e sottrarre credenziali senza destare sospetti.
Il protagonista si chiama Greatness, una piattaforma di phishing-as-a-service attiva almeno dalla metà del 2022. Nata per rubare credenziali in modo classico, col tempo si è evoluta parecchio. Oggi punta a bersagli diversi, da Microsoft 365 a iCloud, passando per Yahoo e Google Workspace. E non lavora più soltanto con le vecchie pagine false: ha aggiunto attacchi di tipo adversary-in-the-middle e il cosiddetto device-code phishing, tecniche pensate proprio per aggirare l’autenticazione a più fattori.
Come RingCentral è diventato un’esca perfetta
Chi la usa la paga EUR 251 al mese, circa 265 euro, tramite un canale Telegram che conta migliaia di iscritti. Non serve essere programmatori esperti, basta abbonarsi. I bersagli finora sono utenti Microsoft 365 in Stati Uniti, Canada, Regno Unito, Australia e Sudafrica.
Nella campagna più recente gli operatori di Greatness hanno abusato proprio della piattaforma RingCentral, fingendo che le email arrivassero dall’indirizzo service@ringcentral.com. Colpivano utenti reali del servizio, quindi persone abituate a ricevere avvisi da quel mittente. Le esche? Finte notifiche di segreteria telefonica e falsi solleciti per la valutazione delle performance, il genere di messaggio che spinge ad aprire senza pensarci troppo. Il punto interessante è tecnico ma vale la pena capirlo. Quei messaggi partivano da un server di posta IONOS sconosciuto, fallivano i controlli SPF e DMARC e non avevano firma DKIM. Insomma, tutti i campanelli d’allarme suonavano. Eppure venivano accettati lo stesso, perché RingCentral era inserito nelle liste dei mittenti attendibili. In più, dentro l’email compariva un banner fasullo che dichiarava il mittente come verificato dalla safe-sender list dell’organizzazione, abbassando la guardia anche di chi legge.
Cosa succede dopo il clic
Su Microsoft Exchange questa tattica raggiungeva uno Spam Confidence Level di -1, un valore che permette di saltare a piè pari le fasi normali di filtraggio. Chi cliccava sul pulsante nell’email finiva sull’infrastruttura di Greatness, dove veniva instradato su due strade. La prima, un flusso adversary-in-the-middle che catturava il token di autenticazione già approvato con l’MFA. La seconda, il device-code phishing.
Una volta ottenuto l’accesso, l’attaccante riutilizzava i token di Microsoft 365 da server VPS e da VPN commerciali per entrare negli account compromessi. Da lì il saccheggio: caselle Outlook, conversazioni Teams, siti SharePoint, file OneDrive, contatti, calendari e applicazioni registrate, il tutto passando da Microsoft Graph. In alcuni casi l’accesso è rimasto attivo per oltre due settimane senza che nessuno se ne accorgesse.
C’è poi un dettaglio che merita attenzione. RingCentral ha di recente comunicato di aver subìto una violazione di dati, rivendicata dal gruppo ShinyHunters. In un bollettino di sicurezza pubblicato il 28 luglio l’azienda ha spiegato che l’incidente ha toccato i dati di una porzione limitata di clienti, contattati direttamente. È probabile che i criminali dietro Greatness abbiano recuperato proprio da quella falla l’elenco di bersagli validi, cioè utenti reali della piattaforma, anche se un collegamento certo non si può stabilire. Le raccomandazioni per chi gestisce la sicurezza vanno nella stessa direzione. Rivedere le liste dei mittenti attendibili e sostituire le esclusioni generiche per dominio con regole che pretendano un’autenticazione email valida. Poi dare la caccia all’infrastruttura di Greatness e agli accessi Microsoft 365 approvati con MFA che arrivano da indirizzi di hosting o VPN. Se si sospetta una compromissione, gli amministratori dovrebbero revocare tutti i token di accesso e aggiornamento, controllare i consensi OAuth, l’attività su Microsoft Graph e gli accessi ai servizi Microsoft 365.
