Gli aggressori si spacciano per personale del supporto tecnico su Microsoft Teams

Un gruppo di hacker motivato da fini economici sta sfruttando Microsoft Teams per introdursi nelle reti aziendali, secondo ricercatori citati da Cybersecurity Dive. La campagna ha colpito decine di aziende negli Stati Uniti e in Canada, utilizzando falsi profili di supporto IT per convincere i dipendenti a concedere l'accesso remoto ai propri computer. Una volta dentro, gli aggressori distribuiscono ransomware, criptando i file e chiedendo un riscatto.

A differenza di molte intrusioni di alto profilo legate a spionaggio di Stato, secondo i ricercatori questa operazione sembra puramente finanziaria. Gli aggressori non cercano informazioni riservate o accessi per sorveglianza a lungo termine. Vogliono un pagamento, e Microsoft Teams è diventato uno strumento comodo per ottenerlo.

Come funziona la truffa

La tattica si basa sull'ingegneria sociale piuttosto che su una vulnerabilità del software. Gli aggressori contattano i dipendenti tramite Microsoft Teams, fingendosi membri interni del supporto IT. Poiché Teams è uno strumento di comunicazione affidabile e quotidiano nella maggior parte delle organizzazioni, i dipendenti sono molto più propensi ad abbassare la guardia rispetto a quando ricevono un'email o una telefonata non sollecitata da un numero sconosciuto.

Una volta che il dipendente è convinto di parlare con il legittimo supporto IT, l'aggressore lo convince a concedere l'accesso remoto al suo computer, spesso con la scusa di risolvere un problema tecnico. Da lì, gli intrusi possono muoversi lateralmente nella rete, raccogliere credenziali e infine distribuire ransomware su sistemi e server condivisi.

Questo approccio rispecchia una tendenza più ampia nel crimine informatico: gli aggressori preferiscono sempre più l'impersonificazione e lo sfruttamento della fiducia rispetto agli exploit tecnici, perché spesso è più facile convincere una persona ad aprire la porta che abbattere un firewall.

Le ricadute sulla privacy di una violazione ransomware

Sebbene il ransomware sia solitamente considerato un problema di continuità operativa, file criptati e sistemi bloccati sono solo una parte della storia. Spesso queste campagne comportano l'esfiltrazione dei dati prima ancora che inizi la cifratura, il che significa che documenti dei dipendenti, informazioni sui clienti e comunicazioni interne potrebbero già essere nelle mani degli aggressori quando appare la richiesta di riscatto.

Questi dati non scompaiono necessariamente una volta pagato il riscatto o ripristinato il sistema. Possono essere venduti, divulgati o tenuti per future estorsioni. Le conseguenze vanno ben oltre l'azienda violata. I dipendenti le cui credenziali sono state raccolte, i clienti i cui dati erano conservati sui server compromessi e i partner che hanno scambiato file sensibili possono essere tutti esposti.

L'infrastruttura dietro queste campagne spesso dipende da fornitori di hosting disposti a chiudere un occhio. Le autorità hanno preso atto di questo problema altrove: le autorità olandesi hanno recentemente sequestrato 800 server e arrestato due persone legate a un'operazione di hosting a prova di proiettile che supportava attività criminali informatiche, a ricordare che le campagne ransomware raramente operano in isolamento. Si basano su un ecosistema più ampio di servizi di hosting, riciclaggio e distribuzione che attraversa i confini.

Cosa significa per te

Se la tua organizzazione utilizza Microsoft Teams, e la maggior parte lo fa, questa campagna è un avvertimento diretto che le piattaforme di chat interne sono ora vettori di attacco praticabili, non solo le caselle di posta elettronica. I reparti IT dovrebbero trattare i messaggi Teams non sollecitati da contatti "supporto" con la stessa diffidenza riservata alle email di phishing.

Per i singoli dipendenti, la lezione è semplice: il legittimo supporto IT raramente avvia il contatto in questo modo, e non chiede quasi mai di concedere l'accesso remoto su due piedi senza una verifica preventiva attraverso un sistema di ticketing noto o un canale interno. Se qualcosa sembra affrettato o insolitamente urgente, quell'urgenza è spesso il campanello d'allarme.

Per le aziende che gestiscono dati di clienti o dipendenti, questa campagna sottolinea anche perché la minimizzazione dei dati e la segmentazione della rete siano importanti. Limitare la quantità di informazioni sensibili presenti su un singolo sistema accessibile riduce ciò che un aggressore può estrarre anche se supera la prima linea di difesa.

Passi concreti per ridurre il rischio

  • Verifica qualsiasi contatto del supporto IT attraverso un sistema di ticketing ufficiale o una linea telefonica interna nota prima di concedere l'accesso remoto al tuo dispositivo.
  • Attiva l'autenticazione a più fattori su Teams, email e strumenti di accesso remoto, in modo che una singola credenziale compromessa non sia sufficiente per muoversi lateralmente.
  • Forma i dipendenti specificamente sulle tattiche di impersonificazione su Teams, non solo sul phishing via email, poiché gli aggressori stanno chiaramente diversificando i loro punti d'ingresso.
  • Segmenta i dati sensibili e limita i privilegi amministrativi in modo che un singolo account compromesso non possa raggiungere l'intera rete.
  • Mantieni backup offline e testati, in modo che le richieste di riscatto perdano il loro potere.

Questa campagna ransomware su Microsoft Teams ricorda che gli aggressori vanno dove esiste già la fiducia. Mentre le organizzazioni si affidano sempre di più alle piattaforme di collaborazione per le operazioni quotidiane, quegli stessi strumenti diventano bersagli interessanti per l'impersonificazione. Rimanere vigili di fronte a richieste di "supporto" inaspettate, verificare le identità attraverso canali separati e mantenere aggiornata la formazione sulla sicurezza sono modi semplici ma efficaci per stare un passo avanti.