Il nuovo attacco hacker: rubano dati aziendali con una telefonata

ANALISI TECNICA

Il gruppo di cybercriminalità ShinyHunters sta conducendo una serie di attacchi di phishing telefonico (vishing) mirati a conti Single Sign-On (SSO) presso Okta, Microsoft e Google. L'obiettivo è il furto di dati aziendali per estorsione.

Gli attaccanti impersonano personale IT contattando gli impiegati tramite telefono e inducendoli ad inserire le proprie credenziali e i codici di autenticazione multi-fattore (MFA) su siti web di phishing che imitano i portali di accesso aziendali. Una volta compromesso l'account, gli aggressori ottengono l'accesso a un'ampia gamma di applicazioni e servizi aziendali collegati tramite il sistema SSO.

• Come funzionano gli attacchi: Gli attaccanti utilizzano tecniche di social engineering per convincere gli impiegati ad accedere a siti web di phishing, fornendo le proprie credenziali e i codici MFA in tempo reale. Una volta ottenute queste informazioni, possono accedere all'account SSO del vittima.
• Conseguenze degli attacchi: Un account SSO compromesso può fornire accesso a una vasta gamma di applicazioni aziendali, come Salesforce, Microsoft 365, Google Workspace, Dropbox e molti altri. Ciò consente agli aggressori di rubare dati sensibili e compromettere l'integrità dell'azienda.

ShinyHunters ha confermato la propria responsabilità per alcuni di questi attacchi, dichiarando che Salesforce rimane il loro obiettivo principale. Il gruppo afferma di aver compromesso anche account SSO presso Okta, Microsoft Entra e Google, ma quest'ultimo nega di avere prove dell'utilizzo dei propri prodotti in questa campagna.

Okta ha rilasciato un rapporto descrivendo i kit di phishing utilizzati in questi attacchi vocali, che corrispondono a quanto riferito da BleepingComputer. Secondo Okta, questi kit includono un pannello di controllo web che consente agli attaccanti di modificare dinamicamente ciò che un utente vede su un sito web di phishing mentre parla con loro al telefono. Ciò consente ai criminali di guidare le vittime attraverso ogni fase del processo di accesso e autenticazione MFA.

Contesto: DI MERCATO/SICUREZZA

Il gruppo di estorsione ShinyHunters si è autoproclamato responsabile di una serie di attacchi di phishing vocal in corso che mirano a conti di accesso singolo (SSO) presso Okta, Microsoft e Google. Gli attori malintenzionati riescono ad infiltrarsi nei sistemi SaaS aziendali e rubare dati aziendali per estorsioni.

In questi attacchi, gli attori impersonano il supporto IT e chiamano i dipendenti, inducendoli a inserire le proprie credenziali e codici di autenticazione multifattore (MFA) su siti di phishing che imitano i portali di accesso aziendali. Una volta compromessi, gli attaccanti ottengono l'accesso all'account SSO della vittima, che può fornire l'accesso ad altre applicazioni e servizi aziendali connessi.

I servizi SSO di Okta, Microsoft Entra e Google consentono alle aziende di collegare le applicazioni terze a un unico flusso di autenticazione, dando ai dipendenti accesso a servizi cloud, strumenti interni e piattaforme aziendali con un singolo accesso. Questi dashboard SSO elencano di solito tutti i servizi connessi, rendendo un account compromesso una porta d'accesso ai sistemi e ai dati aziendali.

• Le piattaforme comunemente collegate tramite SSO includono Salesforce, Microsoft 365, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian e molti altri.

Come riportato per la prima volta da BleepingComputer, gli attori malintenzionati hanno condotto questi attacchi chiamando i dipendenti e facendosi passare per personale IT, usando l'ingegneria sociale per convincerli a accedere a pagine di phishing e completare le sfide MFA in tempo reale.

Dopo aver ottenuto l'accesso all'account SSO della vittima, gli aggressori scorrono l'elenco delle applicazioni connesse e iniziano ad estrarre dati dalle piattaforme disponibili per quell'utente. BleepingComputer è a conoscenza di diverse aziende bersagliate in questi attacchi che hanno ricevuto richieste di estorsione firmate da ShinyHunters, indicando che il gruppo era dietro le intrusioni.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Il gruppo di cybercriminali ShinyHunters starebbe conducendo campagne di phishing vocali mirate a account SSO (Single Sign-On) di Okta, Microsoft e Google. Queste campagne consentono agli aggressori di infiltrarsi nei sistemi SaaS aziendali e rubare dati aziendali per estorsione.

Ecco alcuni consigli pratici per proteggersi da questo tipo di attacchi:

• Mai inserire credenziali o codici MFA su siti web non autorizzati. Verificate sempre l'URL del sito web e assicuratevi che sia autentico prima di inserire qualsiasi informazione personale.
• Sii diffidente verso richieste telefoniche da parte di presunti tecnici IT. Chiedete sempre informazioni aggiuntive per verificare l'identità dell'operatore, come un numero di telefono o un indirizzo email ufficiale.
• Attivate l'autenticazione a due fattori (MFA) su tutti i vostri account importanti. L'MFA aggiunge un ulteriore livello di sicurezza richiedendo un codice di verifica in aggiunta alle credenziali.
• Mantenete sempre aggiornati software e sistemi operativi. Gli aggiornamenti includono spesso patch di sicurezza che riparano vulnerabilità che potrebbero essere sfruttate dagli aggressori.
• Educatevi sulle tecniche di phishing e social engineering. Essere consapevoli delle tattiche utilizzate dagli aggressori può aiutarvi a riconoscere e evitare gli attacchi.

La minaccia rappresentata dal gruppo ShinyHunters è reale e preoccupante. La loro capacità di sfruttare i punti deboli degli SSO per ottenere l'accesso a sistemi aziendali e dati sensibili rappresenta un pericolo concreto per le organizzazioni. ShinyHunters dimostra una crescente sofisticazione nell'utilizzo di tecniche di phishing telefonico, combinando ingegneria sociale con strumenti informatici avanzati.

• Previsione futura: Si prevede che ShinyHunters continuerà a colpire aziende di ogni dimensione, focalizzandosi sulle piattaforme SSO come Okta, Microsoft Entra e Google.
• Le organizzazioni dovranno rafforzare le loro misure di sicurezza implementando autenticazione multi-fattore robusta, formazione del personale sulla consapevolezza dei rischi e sistemi di rilevamento e risposta alle minacce efficaci.
• La collaborazione tra aziende, fornitori di sicurezza e autorità governative sarà fondamentale per contrastare questa minaccia in evoluzione.