L’account ufficiale X di Microsoft è stato dirottato da attaccanti sconosciuti e temporaneamente utilizzato per promuovere una criptovaluta basata su Clippy, il famoso assistente a graffette dell’azienda.
L’account @Microsoft compromesso conta più di 13 milioni di follower. Durante l’acquisizione, ha iniziato a seguire un account che si spacciava per Clippy e ha ripubblicato i suoi contenuti. Anche la foto profilo di Microsoft è stata temporaneamente sostituita con un’immagine del vecchio assistente Office.
L’attività era collegata alla promozione di una criptovaluta chiamata $Clippy. Uno degli account dietro la campagna sosteneva che il token avesse un pool di liquidità abbinato direttamente al ticker $MSFT di Microsoft, potenzialmente dando agli utenti la falsa impressione che la criptovaluta avesse un legame ufficiale con l’azienda.
Microsoft non ha alcuna affiliazione con il token e non ha autorizzato né approvato alcuna criptovaluta collegata a Clippy o al suo marchio.
La situazione è diventata ancora più confusa dopo la scomparsa dei primi post. Circa 30 minuti dopo, apparve una apparsa scusa sull’account di Microsoft in cui affermava che l’azienda non supportava la criptovaluta e avvertiva di un uso non autorizzato della sua proprietà intellettuale.
Anche quel post è stato cancellato. Microsoft ha poi confermato di non aver pubblicato nemmeno le scuse, il che significa che gli attaccanti apparentemente sono riusciti a pubblicare dall’account dopo la rimozione della promozione originale.
Microsoft ha successivamente ripreso il controllo dell’account e ha cancellato i contenuti non autorizzati. L’azienda ha dichiarato di aver confermato un accesso non autorizzato e di continuare a indagare su come sia avvenuto l’incidente.
L’account X che Microsoft aveva inizialmente seguito durante il compromesso è stato successivamente sospeso. Tuttavia, un altro account associato alla promozione $Clippy ha continuato a pubblicizzare il token dopo che l’account Microsoft era stato protetto.
Attualmente non ci sono prove confermate di quanta criptovaluta, se ce ne fosse, gli utenti abbiano perso a causa della campagna. Microsoft non ha nemmeno rivelato se gli attaccanti abbiano ottenuto le sue credenziali X tramite phishing, informazioni rubate di sessione o altri metodi.
L’episodio dimostra perché i post di account social aziendali verificati non dovrebbero essere automaticamente affidabili quando improvvisamente promuovono criptovalute. Gli attaccanti che compromettono un account noto possono immediatamente prendere in prestito la reputazione dell’azienda e raggiungere milioni di potenziali vittime prima che il legittimo proprietario riprenda il controllo.