UNC6671 automatizza il furto di Microsoft 365 tramite chiamate di vishing

Una nuova svolta per un vecchio trucco: il vishing incontra l’automazione

Un gruppo di minacce monitorato come UNC6671 ha trovato il modo di combinare una vecchia tattica di ingegneria sociale con l’automazione moderna, e i risultati si stanno rivelando costosi per le organizzazioni che ne finiscono nel mirino. Secondo i resoconti sull’attività del gruppo, UNC6671 si finge personale interno del supporto IT al telefono per indurre i dipendenti a cedere l’accesso ai propri account Microsoft 365 e Okta. Una volta entrati, i criminali rubano i token di sessione attivi, consentendo agli aggressori di aggirare completamente password e autenticazione a più fattori, per poi automatizzare il furto dei dati aziendali a scopo estorsivo.

Ciò che rende questa campagna degna di nota non è il metodo di contatto iniziale. Il voice phishing, o "vishing", è una tattica nota da anni. È lo strato di automazione aggiunto sopra a trasformare un’unica telefonata riuscita in un’operazione di furto dati su larga scala, in grado di raccogliere silenziosamente file e comunicazioni in tutto l’ambiente Microsoft 365 prima che qualcuno se ne accorga.

Come funziona effettivamente l’attacco

L’attacco inizia di solito con una telefonata. Un dipendente riceve quella che sembra una chiamata di routine dal team di supporto IT della propria azienda, spesso facendo riferimento a un problema tecnico plausibile come un problema di accesso o il blocco dell’account. L’interlocutore guida la vittima attraverso una serie di passaggi che alla fine portano alla cessione di un token di sessione attivo o delle credenziali associate a Microsoft 365 o Okta, la piattaforma di identità che molte organizzazioni utilizzano per gestire l’accesso single sign-on agli strumenti cloud.

I token di sessione sono particolarmente preziosi per gli aggressori perché rappresentano una sessione già autenticata. Invece di dover decifrare una password o eludere l’autenticazione a più fattori, l’aggressore si limita a riutilizzare il token per impersonare l’utente legittimo, spesso senza far scattare gli avvisi che un nuovo accesso sospetto potrebbe generare.

Una volta stabilito l’accesso, UNC6671 avrebbe automatizzato il processo di estrazione dei dati dall’ambiente Microsoft 365 compromesso. Invece di un operatore umano che fruga manualmente tra caselle di posta e drive condivisi, strumenti basati su script svolgono il lavoro pesante, raccogliendo email, file e altro materiale sensibile su larga scala. I dati rubati diventano poi leva in uno schema di estorsione, in cui il gruppo minaccia di diffondere o vendere le informazioni se non viene effettuato il pagamento.

Questo schema richiama quanto i ricercatori hanno documentato negli attacchi contro hedge fund collegati allo stesso gruppo di estorsione, in cui le società finanziarie sono state prese di mira con tattiche simili di ingegneria sociale ed estorsione di dati. Le organizzazioni di servizi finanziari tendono a essere obiettivi interessanti perché detengono grandi volumi di dati sensibili dei clienti e spesso subiscono pressioni per risolvere gli incidenti in modo rapido e discreto.

Perché questo è importante oltre i titoli sulle violazioni

La tentazione è quella di trattare questa come l’ennesima storia di violazione aziendale, ma le implicazioni per la privacy si propagano verso l’esterno. Quando un gruppo di criminali informatici dirotta la sessione Microsoft 365 di un dipendente, non accede solo ai file interni dell’azienda. Ottiene potenzialmente visibilità su registri dei clienti, dati personali di clienti o partner e comunicazioni interne che non avrebbero mai dovuto lasciare l’organizzazione.

Poiché l’accesso iniziale si basa sull’ingegneria sociale e non su un exploit tecnico, gli strumenti di sicurezza tradizionali come le patch o il rilevamento degli endpoint non fermano l’attacco alla fonte. La vulnerabilità sfruttata è la fiducia umana, nello specifico la ragionevole aspettativa di un dipendente che una chiamata che afferma di provenire dal supporto IT provenga effettivamente dal supporto IT. Questo rende questo stile di attacco difficile da eliminare completamente con la sola tecnologia e attribuisce maggiore peso alla formazione organizzativa e ai processi di verifica.

Anche l’aspetto dell’automazione è rilevante. Una volta rubato un token di sessione, la velocità e la portata con cui i dati possono essere esfiltrati lasciano una finestra sempre più ristretta ai team di sicurezza per rilevare e rispondere prima che una quantità significativa di informazioni sensibili sia già scomparsa.

Cosa significa per te

Se lavori in un’organizzazione che utilizza Microsoft 365 o Okta, e la maggior parte dei grandi datori di lavoro lo fa, questa campagna è un promemoria che la tua vigilanza durante una chiamata IT apparentemente di routine conta più di quanto possa sembrare. I reparti IT legittimi raramente chiedono ai dipendenti di leggere codici monouso, approvare richieste di accesso inaspettate o navigare verso pagine di reimpostazione sconosciute durante una chiamata non sollecitata.

Per i singoli individui, l’insegnamento non riguarda il download di nuovi software, ma le abitudini. Sii scettico verso le chiamate non richieste che chiedono l’accesso all’account, anche se l’interlocutore sembra informato sui sistemi interni della tua azienda. Verifica le richieste attraverso un canale separato e conosciuto, ad esempio richiamando il tuo reparto IT utilizzando un numero preso da una rubrica interna, anziché quello fornito dall’interlocutore.

Consigli pratici

Alcuni semplici accorgimenti possono ridurre l’esposizione a questo tipo di attacco:

• Considera con cautela le chiamate non richieste del supporto IT, specialmente quelle che richiedono codici di accesso, approvazioni di sessione o reimpostazioni di password.
• Verifica qualsiasi richiesta IT tramite un numero di telefono ottenuto in modo indipendente o un sistema di chat interno, non attraverso un numero di richiamata fornito durante la chiamata sospetta.
• Segnala immediatamente al team di sicurezza le chiamate anomale del servizio di assistenza, anche se non hai condiviso alcuna informazione, poiché potrebbe indicare che la tua organizzazione è nel mirino.
• Se sospetti che la tua sessione sia stata compromessa, chiedi all’IT di revocare i token attivi e di forzare un nuovo accesso con autenticazione a più fattori.

La campagna di UNC6671 dimostra che, man mano che le organizzazioni rafforzano le difese tecniche, gli aggressori prendono di mira sempre più lo strato umano. Mantenere alta l’attenzione contro i tentativi di ingegneria sociale rimane una delle difese più efficaci e a basso costo a disposizione dei dipendenti comuni.