Un cluster di minacce di nuova identificazione, noto come PREY-0058, sta prendendo di mira account aziendali di Microsoft 365 attraverso una combinazione di ingegneria sociale all'antica e furto moderno di token. Secondo una ricerca riportata da The Hacker News, il gruppo utilizza chiamate di vishing (voice phishing) all'help desk combinate con il furto di token di sessione adversary-in-the-middle (AitM) per intrufolarsi in Microsoft 365 e altre piattaforme SaaS, per poi estorcere le vittime tramite i dati rubati. La campagna è un promemoria del fatto che anche un'autenticazione multi-fattore (MFA) ben configurata può essere sconfitta quando gli aggressori colpiscono le persone e i processi che la circondano, piuttosto che la schermata di accesso stessa.
Cos'è PREY-0058 e come funziona la truffa all'help desk
PREY-0058 è la designazione data a questo cluster di attacchi, e il suo metodo si concentra sull'impersonare il supporto IT. Piuttosto che inviare un'email di phishing sperando che qualcuno clicchi su un link, gli aggressori, secondo quanto riportato, effettuano chiamate telefoniche a dipendenti, dirigenti o help desk IT, fingendo di essere personale di supporto tecnico legittimo. Questo è vishing: ingegneria sociale basata sulla voce, progettata per creare fiducia rapidamente e spingere la vittima ad agire prima che pensi di verificare con chi sta effettivamente parlando.
L'obiettivo di queste chiamate è tipicamente convincere un bersaglio a reimpostare una password, approvare un prompt di accesso o consegnare un codice monouso. Poiché la richiesta sembra provenire da una risorsa IT interna, supera l'istinto che molti dipendenti hanno sviluppato riguardo a email sospette. Il vishing sfrutta un divario che gli strumenti di sicurezza email non possono colmare: una chiamata telefonica risulta personale e urgente in un modo che un messaggio nella casella di posta non fa.
Come gli attacchi adversary-in-the-middle bypassano l'MFA
Ciò che rende PREY-0058 particolarmente efficace è la seconda metà del suo copione: il furto di token adversary-in-the-middle. In un attacco AitM, l'attaccante non ruba solo nome utente e password. Invece, si inserisce tra la vittima e il servizio di accesso reale, spesso utilizzando una pagina di autenticazione falsa e convincente. Quando la vittima accede e completa il passaggio MFA, il proxy dell'attaccante cattura il token di sessione risultante, il dato che prova che un utente è già autenticato.
Questo è importante perché un token di sessione rubato consente a un attaccante di saltare completamente il processo di accesso. Non deve indovinare una password o ingannare qualcuno per approvare una notifica push una seconda volta. Semplicemente riutilizza il token catturato per accedere a Microsoft 365 come se fosse l'utente legittimo, MFA inclusa. È una tecnica già utilizzata contro ambienti Microsoft 365 in passato, ma abbinarla a una chiamata di vishing dal vivo per ottenere l'accesso iniziale o reimpostare le credenziali aggiunge un livello di manipolazione umana che le difese tecniche da sole faticano a intercettare.
Chi viene preso di mira e quali dati sono a rischio
I report su PREY-0058 indicano che la campagna è focalizzata sul rubare dati da Microsoft 365 e altri servizi SaaS, con l'obiettivo finale dell'estorsione piuttosto che la semplice compromissione dell'account per spam o frodi. Questo schema — ottenere accesso, esfiltrare file o comunicazioni sensibili, poi richiedere un pagamento per prevenire la divulgazione — rispecchia un cambiamento più ampio nella criminalità informatica verso il furto di dati e l'estorsione, piuttosto che il tradizionale ransomware con crittografia. Dirigenti e altri dipendenti di alto valore sembrano essere un obiettivo focale, probabilmente perché le loro caselle di posta e il cloud storage contengono quel tipo di informazioni finanziarie, legali o strategiche sensibili che rendono efficace una leva in un tentativo di estorsione.
Questo si inserisce in una tendenza più ampia documentata a livello di settore: l'ingegneria sociale, sempre più potenziata da tattiche di impersonificazione convincenti, sta superando le difese esistenti di molte organizzazioni. Un recente sondaggio su phishing AI e deepfake ha rilevato che la maggioranza dei leader aziendali si sente fiduciosa nella propria postura di sicurezza, anche mentre gli attacchi di impersonificazione basati su voce e assistiti da AI continuano ad avere successo. PREY-0058 è un esempio reale di quel divario tra fiducia e prontezza.
Cosa significa per te
Se la tua organizzazione si affida a Microsoft 365, questa campagna è un segnale per guardare oltre la robustezza delle password e i tassi di adozione dell'MFA. Gli attaccanti si sono adattati a un mondo in cui l'MFA è standard, e ora stanno prendendo di mira i processi di verifica che la circondano, inclusi help desk, reimpostazioni di password e richieste di supporto via telefono. I dipendenti, specialmente dirigenti e personale IT, devono sapere che una chiamata telefonica che afferma di provenire dal supporto interno non è automaticamente affidabile solo perché sembra ufficiale.
Passi pratici per proteggere gli account aziendali
Le organizzazioni possono ridurre la loro esposizione ad attacchi come PREY-0058 con alcuni cambiamenti concreti. Gli help desk dovrebbero utilizzare procedure rigorose di verifica dell'identità per qualsiasi richiesta di reimpostazione password o ri-registrazione MFA, idealmente richiedendo una richiamata a un numero noto o la verifica tramite un canale separato e predefinito, piuttosto che fidarsi della parola del chiamante. I team di sicurezza dovrebbero anche considerare metodi di autenticazione resistenti al phishing, come le chiavi di sicurezza hardware, che sono molto più difficili da intercettare per i proxy AitM rispetto ai codici monouso o alle approvazioni push. Il monitoraggio per l'uso anomalo di token di sessione, come accessi da posizioni inaspettate immediatamente dopo un'interazione con l'help desk, può aiutare a intercettare un'intrusione prima che i dati vengano esfiltrati. Infine, una formazione regolare che copra specificamente scenari di vishing, non solo phishing via email, offre ai dipendenti un copione da seguire quando una chiamata sembra sospetta.
La lezione più ampia di PREY-0058 è che un attacco di vishing a Microsoft 365 riesce sfruttando fiducia e lacune procedurali, non vulnerabilità tecniche nella piattaforma stessa. Mentre gli attaccanti continuano a mescolare ingegneria sociale e furto tecnico di token, le difese a strati che tengono conto del comportamento umano non sono più opzionali. Prenditi qualche minuto questa settimana per rivedere la politica di verifica dell'help desk della tua organizzazione e conferma che il tuo team sappia come appare realmente una richiesta IT legittima.
