Phishing con falso allarme Passkey ruba i dati aziendali da Microsoft 365
Microsoft ha svelato due ondate di frodi in corso, in cui gli aggressori si spacciano per il supporto IT delle aziende per ottenere l’accesso agli account Microsoft 365.
Gli aggressori prima raccolgono informazioni sui dipendenti e sulla struttura dell’azienda, spesso tramite i social network, e poi contattano i lavoratori, talvolta tramite SMS sul telefono personale.
Sostengono che un Passkey, l’autenticazione a più fattori o l’impostazione Single Sign-On debba essere aggiornato urgentemente, altrimenti si rischia di perdere l’accesso, e indirizzano la persona a una falsa pagina di accesso Microsoft.
Su questa pagina, le vittime inseriscono direttamente le proprie credenziali, che vengono così intercettate, oppure digitano un codice fornito dall’aggressore sulla pagina Microsoft vera, consentendo a quest’ultimo di ottenere l’accesso senza dover superare un ulteriore controllo a più fattori.
Secondo Microsoft, il gruppo dietro questi attacchi impiega notevoli risorse nella preparazione e raccoglie informazioni mirate sui dipendenti prima di colpire.
Dopo aver ottenuto l’accesso, Microsoft ha osservato che gli aggressori, nel giro di pochi minuti, hanno esplorato app interne, SharePoint, Outlook e applicazioni aziendali, rimanendo attivi anche per un’ora per esaminare file sensibili.
Poiché l’accesso avviene tramite Single Sign-On, può estendersi anche a servizi collegati come Salesforce, Google Workspace, Dropbox o Slack, amplificando notevolmente la portata dei potenziali furti di dati.
PERCHÉ È IMPORTANTE
Gli aggressori sfruttano la fiducia nelle funzioni di sicurezza come i Passkey per indurre i dipendenti a divulgare le credenziali di accesso e possono così accedere a dati aziendali ben oltre un singolo account.
COSA PUOI FARE ORA
- Verificare sempre autonomamente le richieste IT In caso di presunte richieste IT, non richiamare tramite il numero fornito nel messaggio, ma utilizza il numero ufficiale interno o il contatto IT noto della tua azienda.
- Non inserire codici sconosciuti Se qualcuno ti chiede di inserire un codice su una pagina di accesso Microsoft che non hai richiesto tu, non inserirlo e contatta invece il tuo reparto IT.
- Controllare attentamente l’indirizzo della pagina di accesso Prima di inserire le credenziali, controlla con attenzione l’indirizzo web nel browser e fai caso a elementi insoliti come 'passkeyhelpdesk' o combinazioni di parole simili.
- Segnalare immediatamente i messaggi sospetti Segnala subito al tuo team IT o di sicurezza SMS, chiamate o e-mail con presunti problemi di Passkey o SSO, anche se non hai risposto.