Le campagne di phishing rivolte agli utenti Microsoft 365 stanno diventando sempre più difficili da rilevare, poiché gli attaccanti si affidano sempre più all’infrastruttura di autenticazione legittima di Microsoft invece che alle pagine di accesso contraffatte. Secondo new research from Check Point , il cambiamento permette agli attori minacciosi di sfruttare la fiducia che gli utenti riprendono nei servizi di Microsoft, evitando però molti degli indicatori tradizionalmente associati ai siti di phishing.
Invece di tentare di rubare nomi utente e password tramite pagine di accesso false, le campagne osservate abusano del processo di autenticazione tramite codice del dispositivo di Microsoft, una funzione pensata per dispositivi che non possono facilmente visualizzare un’interfaccia di login completa o accettare input complessi da parte degli utenti. Poiché le vittime vengono indirizzate a domini Microsoft autentici durante il processo di accesso, è meno probabile che mettano in discussione la richiesta e i controlli di sicurezza che si basano sull’identificazione di siti fraudolenti potrebbero avere meno opportunità di intervenire.
Check Point ha scoperto che gli aggressori contattano prima le potenziali vittime tramite email di phishing create per apparire come comunicazioni commerciali legittime. Invece di chiedere ai destinatari di verificare un account o di reimpostare una password, i messaggi li incoraggiano a completare quella che sembra essere una fase di autenticazione di routine. La vittima viene istruita a inserire un codice del dispositivo tramite il portale di accesso autentico di Microsoft, autorizzando inconsapevolmente una sessione avviata dall’attaccante invece di una associata al proprio dispositivo.
Una volta concessa l’approvazione, l’attaccante può ottenere token di autenticazione che forniscono accesso all’ambiente Microsoft 365 della vittima senza bisogno della password dell’account. A seconda dei permessi concessi e della configurazione dell’account, questo accesso può permettere all’attore della minaccia di visualizzare le email, interagire con le risorse cloud e mantenere l’accesso fino alla scadenza o revoca dei token emisi.
La ricerca evidenzia come questa tecnica differisca dal phishing convenzionale. Invece di vanificar la capacità di un utente di riconoscere un sito falso, gli attaccanti sfruttano una funzione legittima esattamente come è stata progettata per operare, rendendo la componente di ingegneria sociale dell’attacco molto più importante dell’inganno tecnico. Di conseguenza, gli utenti potrebbero pensare di completare un normale accesso Microsoft perché ogni pagina che incontrano appartiene a Microsoft.
Secondo Check Point, l’uso crescente di servizi cloud affidabili nelle operazioni di phishing riflette un’evoluzione più ampia della criminalità informatica. Man mano che le organizzazioni migliorano la loro capacità di rilevare domini falsificati e portali di login clonati, gli aggressori si stanno spostando sempre più verso l’abuso di piattaforme legittime e flussi di lavoro di autenticazione per raggiungere lo stesso obiettivo, riducendo al contempo la probabilità di rilevamento.
I ricercatori raccomandano che le organizzazioni sensibilizzino i dipendenti sul phishing tramite codice dei dispositivi e monitorino attentamente l’attività di autenticazione per autorizzazioni impreviste. Gli utenti dovrebbero essere cauti ogni volta che ricevono richieste non richieste di inserire un codice dispositivo, anche se la pagina di accesso è ospitata su un dominio Microsoft autentico. I team di sicurezza dovrebbero anche esaminare gli eventi di autenticazione basati su token e indagare su attività di autorizzazione insolite, poiché l’assenza di un sito web falso non garantisce più che una richiesta di accesso sia legittima.