Il phishing vocale trova un nuovo punto debole: il tuo telefono personale

Una nuova ondata di attacchi mostra perché il confine tra dispositivi personali e professionali conta più che mai. Secondo quanto riportato sulle conclusioni di threat intelligence di Microsoft, i gruppi tracciati come Storm-3032 e Storm-3121 chiamano e inviano messaggi ai dipendenti sui loro telefoni personali, fingendosi membri del helpdesk IT interno. Una volta che un dipendente è convinto che la chiamata sia legittima, gli attaccanti lo guidano attraverso passaggi che concedono l'accesso agli account aziendali Microsoft 365, sfruttando spesso configurazioni bring-your-own-device (BYOD) in cui i telefoni personali vengono utilizzati anche per accedere all'email di lavoro, a Teams e a SharePoint.

Ciò che rende notevole questa campagna non è solo la tattica del phishing vocale in sé. È ciò che accade dopo che l'accesso iniziale è stato ottenuto. Questi gruppi, secondo quanto riportato, funzionano come broker di accesso iniziale: entrano in una rete, usano l'API Graph di Microsoft per esaminare quali dati e sistemi sono disponibili, e poi identificano quali vittime sono abbastanza preziose da vendere o cedere. Da lì, l'accesso viene passato a gruppi di estorsione, incluso ShinyHunters, un nome diventato sempre più familiare nei casi di furto di dati ed estorsione.

Perché il BYOD rende questo attacco così efficace

I dispositivi personali si trovano al di fuori del perimetro di sicurezza che la maggior parte delle aziende costruisce attorno all'hardware aziendale. Un laptop di lavoro potrebbe avere il rilevamento degli endpoint, permessi delle app limitati e configurazioni gestite dall'IT. Un telefono personale usato per controllare l'email o partecipare a una chiamata Teams tipicamente non ha nulla di tutto ciò. È anche il dispositivo su cui i dipendenti sono più propensi a rispondere a una chiamata senza pensarci due volte, dal momento che è lo stesso telefono che usano famiglia e amici.

È proprio questo divario di fiducia che il phishing vocale (a volte chiamato vishing) sfrutta. Gli attaccanti non hanno bisogno di violare la crittografia o trovare un difetto software. Hanno bisogno di un dipendente che creda che la persona al telefono sia veramente dell'IT e stia cercando di aiutare, non di nuocere. Le segnalazioni indicano che gli attaccanti abusano anche di funzionalità di collaborazione legittime, come l'accesso esterno in Microsoft Teams, per mimetizzarsi con la normale comunicazione aziendale invece di far scattare ovvi campanelli d'allarme.

Questo schema riecheggia una tendenza più ampia in diversi settori. Nell'attacco ransomware a Jack Henry, gli attaccanti hanno similmente usato una chiamata telefonica invece di un exploit tecnico per ottenere un punto d'appoggio, sottolineando che l'ingegneria sociale basata sulla voce è diventata un punto d'ingresso preferito proprio perché aggira le tradizionali difese tecniche.

L'angolazione dell'API Graph: trasformare l'accesso in intelligence

Una volta dentro un account, gli attaccanti, secondo quanto riportato, usano l'API Graph di Microsoft, uno strumento legittimo che gli sviluppatori utilizzano per interagire con i dati di Microsoft 365, per mappare l'ambiente di un'organizzazione. Questo consente loro di identificare rapidamente quali caselle di posta, file o account utente sono più preziosi, effettuando di fatto la ricognizione usando l'infrastruttura stessa del bersaglio. Invece di esfiltrare i dati personalmente in ogni caso, i broker di accesso iniziale sembrano cedere i punti d'appoggio di alto valore a gruppi di estorsione come ShinyHunters, che si specializzano nel monetizzare l'accesso rubato attraverso furto di dati e richieste di estorsione.

Questa divisione del lavoro, un gruppo che entra e un altro gruppo che incassa, rispecchia ciò che è stato visto in altri recenti casi di violazione. Nella violazione dei dati di Napoleon Perdis, i record dei clienti rubati sono stati divulgati e rivendicati da un attore di minaccia che operava indipendentemente da chiunque possa aver originariamente accesso ai dati, illustrando come l'accesso compromesso e le fughe di dati pubbliche siano spesso gestiti da parti completamente separate.

Cosa significa per te

Se il tuo datore di lavoro consente l'accesso BYOD a Microsoft 365, Teams o all'email aziendale, sei un potenziale punto d'ingresso per questo tipo di attacco, indipendentemente dal tuo ruolo o reparto. Il rischio principale non è un difetto nel software di Microsoft. È il presupposto che un chiamante che afferma di essere il "supporto IT" sia chi dice di essere. I dipendenti dovrebbero essere scettici nei confronti di qualsiasi chiamata o messaggio non richiesto che chieda loro di reimpostare le credenziali, approvare un prompt di accesso o installare qualsiasi cosa, anche se il chiamante sembra competente sui sistemi interni o usa nomi reali di dipendenti.

Le organizzazioni dovrebbero anche rivedere come i dispositivi BYOD vengono verificati e monitorati, poiché un telefono personale con accesso ai servizi cloud aziendali può diventare un percorso diretto verso dati sensibili senza mai toccare un laptop di proprietà dell'azienda.

Punti chiave attuabili

  • Verifica qualsiasi contatto del helpdesk IT attraverso un canale interno noto prima di agire, mai attraverso il numero o il metodo fornito dal chiamante.
  • Abilita l'autenticazione a più fattori che richiede più di un semplice tocco di approvazione, poiché la fatica da MFA e l'ingegneria sociale spesso vanno di pari passo.
  • Chiedi al tuo datore di lavoro informazioni sulle politiche di sicurezza BYOD, incluso se i dispositivi personali che accedono a Microsoft 365 sono soggetti a regole di accesso condizionale o controlli di conformità del dispositivo.
  • Segnala immediatamente chiamate o messaggi sospetti che affermano di provenire dall'IT, anche se non hai agito di conseguenza, così che i team di sicurezza possano tracciare la campagna più ampia.

Le campagne di phishing vocale come questa riescono perché prendono di mira la fiducia umana piuttosto che le vulnerabilità del software. Rimane cauti riguardo a chiamate inaspettate e confermare le richieste attraverso canali ufficiali resta una delle difese più semplici ed efficaci disponibili.