Un'Ondata di Attacchi Basata sulla Fiducia Quotidiana

Nel corso di agosto, i ricercatori di sicurezza hanno monitorato un gruppo di attacchi informatici negli Stati Uniti e in Europa che non faceva affidamento su malware esotici o exploit zero-day. Invece, gli attaccanti hanno trasformato gli strumenti che le aziende usano ogni singolo giorno, gli accessi a Microsoft 365, il software di monitoraggio e gestione remota (RMM) e i documenti aziendali di routine, in percorsi per il compromesso.

Questo è ciò che rende notevole la campagna. Piuttosto che sfondare firewall o sfruttare software non aggiornato, gli attaccanti hanno fatto leva sul fatto che i dipendenti si fidano delle piattaforme a cui accedono ogni mattina e dei fornitori che gestiscono da remoto i loro sistemi IT. Questa fiducia, una volta abusata, diventa una delle superfici d'attacco più efficaci disponibili.

Come Funziona il Dirottamento della Sessione di Microsoft 365

Al centro di questa campagna c'è una tecnica nota come dirottamento della sessione. Piuttosto che rubare apertamente nome utente e password, gli attaccanti intercettano o rubano il token di autenticazione, o "cookie di sessione", che Microsoft 365 genera dopo che un utente ha effettuato l'accesso con successo e completato l'autenticazione multifattoriale. Poiché quel token dimostra che la sessione è già verificata, un attaccante che lo ottiene può effettivamente diventare l'utente connesso senza mai aver bisogno della password originale.

Questo è importante perché l'autenticazione multifattoriale, a lungo considerata una forte difesa contro il furto di credenziali, non ferma un attaccante che ha già catturato una sessione valida. L'evento di accesso è già avvenuto legittimamente dalla prospettiva della vittima. Una volta dentro, gli attaccanti possono accedere a email, file condivisi, calendari e comunicazioni interne legate a quell'account Microsoft 365, spesso senza attivare i tipi di avvisi che un tentativo di accesso fallito o una notifica di nuovo dispositivo solleverebbero.

Strumenti di Gestione Remota e Documenti Aziendali come Punti di Ingresso

La stessa campagna di agosto ha anche fatto leva sul software di monitoraggio e gestione remota (RMM), il tipo di strumento che i dipartimenti IT e i fornitori di servizi gestiti usano per installare aggiornamenti, risolvere problemi e mantenere i sistemi da remoto. Quando gli attaccanti ottengono accesso a questi strumenti, sia dirottando le credenziali o sfruttando configurazioni deboli, ereditano lo stesso livello di accesso fidato che avrebbe un amministratore IT legittimo. Ciò può significare la capacità di inviare file, eseguire comandi o spostarsi attraverso un'intera rete di dispositivi connessi con un'attrito minimo.

Anche i documenti aziendali di routine hanno giocato un ruolo. I file che sembrano fatture, contratti o promemoria interni sono ancora uno dei modi più affidabili per indurre un dipendente a cliccare un link o aprire un allegato, proprio perché non sembrano sospetti. Combinati con il dirottamento della sessione e l'abuso di RMM, un singolo documento convincente può essere il primo domino in un'intrusione molto più ampia.

Questo schema riecheggia una tendenza più ampia nell'applicazione della legge sulla criminalità informatica, dove le autorità hanno sempre più preso di mira l'infrastruttura e gli individui dietro attacchi su larga scala piuttosto che solo i singoli incidenti. Azioni sanzionatorie come quella contro l'amministratore dell'operazione ransomware Trickbot mostrano come i governi stiano cercando di interrompere l'ecosistema che rende redditizie queste campagne, anche mentre nuove variazioni su vecchie tecniche continuano a emergere.

Cosa Significa Questo Per Te

Per la maggior parte degli individui, questa campagna è un promemoria che password forti e persino l'autenticazione multifattoriale non sono una rete di sicurezza completa se un token di sessione può essere rubato tramite phishing o malware. Per i dipendenti di piccole e medie imprese in particolare, dove le risorse IT possono essere limitate e gli strumenti RMM sono comunemente usati da fornitori esterni, il rischio di questo tipo di abuso è reale.

Se usi Microsoft 365 per lavoro, presta attenzione a richieste inaspettate di ri-autenticazione, posizioni di accesso non familiari segnalate nelle notifiche di sicurezza o richieste di approvare un dispositivo che non riconosci. Se la tua organizzazione fa affidamento su un fornitore IT di terze parti che usa software di gestione remota, vale la pena chiedere come quell'accesso è protetto e monitorato. E come sempre, tratta i documenti inaspettati, specialmente quelli che spingono a un'azione rapida, con sano scetticismo prima di aprirli.

Consigli Pratici

  • Rivedi periodicamente i registri delle attività di accesso di Microsoft 365 e segnala immediatamente qualsiasi sessione o posizione non familiare.
  • Chiedi al tuo fornitore IT o al team interno come viene autenticato l'accesso al software RMM e se è in atto un monitoraggio delle sessioni.
  • Evita di aprire documenti aziendali, fatture o allegati inaspettati senza verificare il mittente tramite un canale separato.
  • Prendi in considerazione l'abilitazione delle policy di accesso condizionale e finestre di timeout di sessione più brevi per gli account cloud dove possibile.
  • Rimani informato su come gli attaccanti si stanno adattando per bypassare l'autenticazione multifattoriale, poiché il dirottamento della sessione di Microsoft 365 mostra che la MFA da sola non è una difesa garantita.

L'ondata di attacchi di agosto non ha richiesto nuovi malware sofisticati per avere successo. Ha avuto successo sfruttando la fiducia quotidiana che le aziende ripongono in accessi familiari, fornitori familiari e tipi di file familiari. Rimanere vigili su questa realtà è una delle difese più semplici ed efficaci disponibili.