Frode IT: furto di dati e ricatti su Microsoft 365 tramite vishing e token hijacking

Le forze di difesa informatica hanno identificato un nuovo cluster di minacce, denominato PREY‑0058 da Arctic Wolf, che prende di mira gli utenti senior di Microsoft 365 mediante chiamate di vishing, furto di token MFA e accessi tramite proxy residenziali. L’attacco, che colpisce soprattutto dirigenti di settori come costruzioni, sanità e finanza, si conclude con richieste di riscatto per i dati rubati da SharePoint, OneDrive, Exchange e Box.

Meccanismo dell’attacco

Gli aggressori avviano la campagna impersonando operatori del supporto IT in telefonate (vishing). Durante la chiamata, la vittima viene indirizzata a un URL di autenticazione che segue lo schema <azienda>.<dominio‑esca>. Una volta inserite le credenziali e approvata la MFA, il flusso di login è intercettato da un server “adversary‑in‑the‑middle” (AitM) che cattura sia le credenziali sia i token di sessione.

I token rubati vengono poi riutilizzati in attacchi di replay da infrastrutture proxy residenziali (es. NodeMaven) o da IP con lo stesso ASN della vittima, rendendo difficile il tracciamento. Dopo l’accesso, gli attori eseguono una fase di discovery su SharePoint ed Entra ID, sfruttando query come SearchQueryPerformed con filtri contentclass:STS_Site e contentclass:STS_Web. Successivamente avviene una raccolta massiva di file da SharePoint, OneDrive, Exchange e Box, seguita dall’invio di richieste di riscatto.

Target e impatto

Il profilo delle vittime è altamente privilegiato: direttori, vicepresidenti e altri dirigenti senior. Le organizzazioni colpite sono distribuite principalmente negli Stati Uniti e operano nei settori della costruzione, ingegneria, sanità, farmaceutica, immobiliare, finanza e servizi professionali. La mancanza di malware endpoint o di movimento laterale nella rete rende l’attacco particolarmente subdolo: la compromissione avviene interamente a livello di autenticazione cloud.

Indicazioni operative per la difesa

• Policy di Accesso Condizionale (Conditional Access): limitare l’accesso a Microsoft 365 da dispositivi gestiti, richiedere MFA basata su fattori hardware e bloccare login da location o ASN sospetti.
• MFA resistente al phishing: adottare soluzioni basate su chiavi di sicurezza (FIDO2, WebAuthn) o su certificati hardware, riducendo la dipendenza da OTP via SMS o app.
• Monitoraggio dei token e replay: implementare alert per token MFA emessi da indirizzi IP residenziali o da subnet non riconosciute, e per pattern di “session replay” su Azure AD.
• Hardening di SharePoint e OneDrive: limitare i permessi di accesso ai dati sensibili, attivare il “Least Privilege” e abilitare il logging avanzato delle attività di ricerca e download.
• Formazione anti‑vishing: sensibilizzare sia gli utenti finali sia il personale di help‑desk su tecniche di social engineering telefonica, con simulazioni periodiche.

Prospettive future

Il cluster PREY‑0058 dimostra come gli attori minacciosi stiano spostando il loro focus dal malware tradizionale al furto di credenziali e token in ambienti SaaS. Con l’aumento dell’adozione di soluzioni cloud e la crescente dipendenza da MFA, è probabile che le campagne di “token hijacking” si evolvano, includendo tecniche di deep‑fake vocale per rendere più credibili le chiamate di vishing.

Le organizzazioni dovranno quindi investire in soluzioni di autenticazione a prova di phishing, potenziare il monitoraggio comportamentale delle sessioni cloud e mantenere una cultura della sicurezza costantemente aggiornata.

Conclusioni operative

Il panorama attuale richiede una risposta multilivello: dalla revisione delle policy di accesso condizionale alla sostituzione di MFA basata su OTP con soluzioni hardware, passando per un monitoraggio continuo dei token e una formazione mirata contro il vishing. Solo così le imprese potranno mitigare efficacemente il rischio di furto di dati e ricatti su piattaforme Microsoft 365.