I criminali informatici hanno trovato un nuovo modo per aggirare i filtri email e i blocchi antispam: chiamano direttamente i dipendenti tramite Microsoft Teams. Una recente campagna legata al ransomware Chaos mostra che gli aggressori utilizzano il voice phishing, o "vishing", all'interno di Teams per indurre i lavoratori a concedere l'accesso alla rete, portando infine alla distribuzione del ransomware nei sistemi aziendali.

Non si tratta solo di un'altra storia di phishing via email. È un segnale che gli aggressori stanno prendendo di mira deliberatamente le piattaforme di collaborazione di cui milioni di dipendenti ormai si fidano per impostazione predefinita, e sta imponendo un ripensamento sul modo in cui le organizzazioni formano il personale a riconoscere l'ingegneria sociale.

Come funziona l'attacco di vishing su Microsoft Teams

A differenza del phishing tradizionale, che si basa su un link o un allegato dannoso presente in una casella di posta, questo stile di attacco utilizza un contatto vocale in tempo reale. Gli aggressori contattano i dipendenti tramite Microsoft Teams, spesso fingendosi il supporto IT interno o un fornitore di fiducia, e usano la chiamata per creare urgenza e credibilità. Poiché l'interazione avviene all'interno di una piattaforma che i dipendenti usano già quotidianamente per richieste di lavoro legittime, la barriera psicologica che normalmente rende sospettosi di fronte a email non richieste semplicemente non esiste.

Una volta stabilita la fiducia, l'obiettivo dell'aggressore è semplice: indurre la vittima a compiere un'azione che conceda un accesso remoto, che si tratti di approvare una richiesta di accesso, installare uno strumento di accesso remoto o condividere le credenziali con la scusa di un ticket di supporto. A quel punto, l'aggressore ha un punto d'appoggio nella rete aziendale, ponendo le basi per il carico utile del ransomware.

Questo approccio rispecchia una tendenza più ampia in cui gli aggressori sfruttano gli ambienti Microsoft 365, invece di attaccare direttamente le vulnerabilità software. Richiama le tattiche viste nella campagna Storm-2949 che ha preso di mira il reset delle password di Microsoft 365, dove i criminali hanno manipolato flussi di lavoro cloud affidabili anziché affidarsi solo al malware per violare le organizzazioni.

Perché il voice phishing aggira la formazione tradizionale sulla sicurezza

La maggior parte dei programmi aziendali di sensibilizzazione alla sicurezza è costruita attorno all'email: non cliccare link sconosciuti, controllare l'indirizzo del mittente, passare il mouse prima di fidarsi. Il voice phishing aggira quasi tutta questa formazione perché non c'è un'email da esaminare attentamente, nessun dominio palesemente contraffatto e nessun messaggio statico che un dipendente possa inoltrare con calma al team di sicurezza per una verifica.

Una chiamata dal vivo, su Teams o telefono, introduce anche una pressione sociale che l'email non ha. Una voce calma e professionale che afferma di essere del supporto IT, soprattutto se fa riferimento a una terminologia interna reale o a recenti eventi aziendali, può spingere un dipendente a un rapido assenso prima che abbia avuto il tempo di pensare in modo critico. Questa combinazione di piattaforma affidabile, pressione in tempo reale e preparazione limitata dei dipendenti è esattamente il motivo per cui il vishing è diventato un punto d'ingresso attraente per gli operatori di ransomware.

Cosa fa il ransomware Chaos una volta all'interno della rete

Una volta che gli aggressori hanno utilizzato la chiamata di vishing per stabilire l'accesso, la fase successiva è la distribuzione del ransomware Chaos. Come altre famiglie di ransomware, Chaos è progettato per muoversi attraverso una rete compromessa, cifrare file e sistemi e tenere in ostaggio i dati fino al pagamento di un riscatto. Il danno non è limitato a una singola macchina; gli operatori di ransomware cercano in genere di diffondersi il più possibile all'interno di una rete prima di attivare la cifratura, massimizzando la pressione sull'organizzazione vittima affinché paghi.

A rendere questa campagna degna di nota è il metodo di distribuzione, più che il ransomware in sé. Ottenendo un accesso dall'apparenza legittima attraverso un canale di comunicazione affidabile, gli aggressori possono potenzialmente aggirare diversi livelli di difese tecniche che normalmente segnalerebbero download sospetti o tentativi di accesso insoliti.

Difese per i lavoratori remoti e ibridi: MFA, VPN e verifica vocale

Per le organizzazioni con team distribuiti o ibridi, questo tipo di attacco ricorda che la verifica dell'identità deve andare oltre le email e le schermate di accesso. Alcuni accorgimenti pratici possono ridurre sensibilmente il rischio:

  • Richiedere l'autenticazione a più fattori (MFA) per tutti gli accessi remoti e i sistemi sensibili, e formare i dipendenti a non approvare mai una richiesta MFA che non hanno avviato personalmente.
  • Stabilire una politica chiara e valida per tutta l'azienda per verificare le richieste di supporto IT, ad esempio richiedendo ai dipendenti di richiamare un numero interno conosciuto invece di fidarsi di una chiamata o di un messaggio in arrivo su Teams.
  • Utilizzare una VPN insieme a controlli di accesso rigorosi, in modo che, anche se le credenziali vengono compromesse, il movimento laterale nella rete sia più difficile da realizzare.
  • Estendere la formazione sulla consapevolezza del phishing per coprire l'ingegneria sociale vocale e via chat, non solo quella via email.

Cosa significa per te

Se lavori in modalità ibrida o remota e utilizzi regolarmente Microsoft Teams, tratta le chiamate o i messaggi inaspettati provenienti dal "supporto IT" con lo stesso scetticismo che applicheresti a un'email sospetta. I reparti IT legittimi raramente si mettono in contatto a freddo tramite piattaforme di chat chiedendo di installare software o approvare immediatamente richieste di accesso. In caso di dubbio, riaggancia, verifica attraverso un canale ufficiale e segnala subito l'interazione al tuo team di sicurezza.

Punti chiave

La diffusione degli attacchi ransomware tramite vishing su Microsoft Teams dimostra che i criminali informatici si adattano più rapidamente di molti programmi di formazione aziendale. Man mano che gli strumenti di collaborazione diventano il nuovo fronte dell'ingegneria sociale, le organizzazioni devono aggiornare di conseguenza le proprie difese: rafforzare le politiche MFA, formalizzare le procedure di verifica IT e assicurarsi che i dipendenti comprendano che la fiducia in una piattaforma non equivale alla fiducia in ogni persona che la utilizza. Mantenere l'attenzione verso le richieste vocali e di chat non richieste, per quanto convincenti possano sembrare, rimane uno dei modi più semplici ed efficaci per fermare un attacco ransomware prima che inizi.