Vishing Help Desk su Microsoft 365: rubano token e bypassano MFA, poi estorcono dati nel cloud

Una nuova ondata di attacchi informatici sta colpendo Microsoft 365 e altri servizi SaaS con una tecnica che unisce ingegneria sociale e furto di token di sessione. Il punto di partenza è il vishing help desk, cioè telefonate in cui i criminali si spacciano per personale IT interno o per il supporto tecnico.

L’obiettivo è convincere dirigenti e figure executive (come direttori e vicepresidenti) a completare una falsa procedura di autenticazione.

Durante la chiamata, la vittima viene guidata verso un URL a tema autenticazione costruito per sembrare legittimo e spesso personalizzato con il nome dell’organizzazione. Tra i domini esca osservati compaiono varianti legate a passkey e MFA come mfaregister com, passkey deploy com, registermymfa com e setpasskey com. Questi siti non servono solo a rubare username e password, ma soprattutto a intercettare l’approvazione MFA e ottenere token di sessione validi.

La fase centrale è un attacco adversary-in-the-middle (AitM) sul flusso di login Microsoft 365. In pratica, l’attaccante si inserisce tra utente e servizio reale, cattura credenziali e token e poi li riutilizza con tecniche di session replay. Per ridurre i sospetti, gli accessi successivi arrivano tramite infrastrutture proxy spesso residenziali e con caratteristiche coerenti con la posizione della vittima, inclusi ASN e geolocalizzazione simili. Questo rende più difficile distinguere un accesso malevolo da uno legittimo nei log.

Una volta ottenuto l’accesso, gli attaccanti eseguono attività di ricognizione su Entra ID e su SharePoint, cercando siti, web e contenuti tramite query e ricerche mirate. Seguono raccolta massiva ed esfiltrazione di dati da SharePoint, OneDrive, Exchange e anche da servizi come Box. Il passo finale è la richiesta di estorsione, basata sui dati sottratti.

Un elemento rilevante è che spesso non viene distribuito malware sugli endpoint e non si osserva movimento laterale tradizionale in rete. La campagna punta invece su identità, token e accesso ai dati nel cloud, con infrastruttura di phishing ampia e numerosi sottodomini che imitano aziende reali. I settori più colpiti includono costruzioni e ingegneria, sanità e farmaceutico, real estate, finanza e servizi professionali.

Misure di mitigazione e rilevamento

• Rafforzare le policy di Conditional Access per ridurre l’esposizione degli account ad accessi anomali.
• Adottare MFA resistente al phishing per limitare l’efficacia di AitM e furto token.
• Applicare il minimo privilegio su SharePoint, limitando l’accesso ai dati e segmentando permessi e siti.
• Formare utenti e help desk sui segnali tipici del vishing e sulle procedure corrette di verifica.
• Monitorare indicatori di compromissione: replay di token tramite proxy residenziali, discovery anomala, accessi bulk a SharePoint e caselle email, comparsa di nuovi domini esca legati all’autenticazione.