Sintesi

È stata rilevata una recente campagna di phishing volta a carpire le credenziali utente delle potenziali vittime tramite form opportunamente predisposti che ripropongono loghi e riferimenti ai servizi Microsoft Outlook.

Descrizione e potenziali impatti

È stata rilevata una recente campagna di phishing volta a carpire le credenziali utente delle potenziali vittime tramite form opportunamente predisposti che ripropongono loghi e riferimenti ai servizi Microsoft Outlook.

L’email (Figura 1), redatta in inglese e apparentemente inviata da presunto servizio di supporto automatizzato interno all’organizzazione di appartenenza, informa la vittima dell’imminente scadenza della propria password e della configurazione relativa all’autenticazione a più fattori (MFA) ad essa associata.

Qualora dato seguito al link proposto, la vittima viene reindirizzata ad una landing page malevola che riporta, in secondo piano, una verosimile configurazione delle proprie modalità di autenticazione; in primo piano viene presentato un pop-up che richiede l’inserimento del proprio account e-mail per procedere all’aggiornamento delle credenziali (Figura 2).

Forniti i propri dati, una breve animazione che ripropone loghi e riferimenti Microsoft, rimandando ai servizi cloud di Outlook, chiede l’inserimento dell’attuale password per procedere (Figura 3) alla fase successiva.

Nel caso in cui vengano fornite le proprie credenziali tramite il pulsante “Next”, i dati inseriti verranno inviati a una risorsa sotto il controllo dell’attaccante, mentre la vittima verrà reindirizzata a una pagina di errore che avvisa l’utente che l’account è stato bloccato a causa di troppi tentativi di accesso (Figura 4).

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di attacchi verificando scrupolosamente le e-mail ricevute e attivando le seguenti misure aggiuntive:

• fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing diffidando da comunicazioni inattese;
• non accedere a collegamenti internet o a relativi contenuti esterni se non si è certi dell’affidabilità della risorsa;
• accertarsi della legittimità dei siti che richiedono l’inserimento dei propri dati d’accesso.

Infine, si raccomanda di valutare la verifica e l’implementazione – sui propri apparati di sicurezza – degli Indicatori di Compromissione (IoC) ^[1] forniti in allegato.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.