Un'ondata di attacchi vishing mirati ai dirigenti di aziende USA sta consentendo a gruppi criminali di sottrarre dati sensibili da Microsoft 365 e altri servizi cloud, senza malware ma con tecniche di social engineering e furto di token.
Dirigenti e top manager di aziende statunitensi stanno diventando il bersaglio privilegiato di una campagna di furto dati e ricatto che sfrutta telefonate di finto supporto IT, domini-trappola e sofisticate tecniche di token replay. L'operazione, identificata come PREY-0058 da Arctic Wolf, non si limita a rubare credenziali: punta direttamente ai dati aziendali più sensibili custoditi su Microsoft 365, SharePoint, OneDrive, Exchange e Box.
Il cuore della strategia criminale non è un malware, ma la manipolazione umana. Gli attaccanti si fingono membri del supporto tecnico interno e convincono le vittime a visitare siti web camuffati da portali di autenticazione, come assignpasskey[.]com o passkey-mfa[.]com. Una volta ottenute le credenziali e le approvazioni MFA, i criminali si impossessano dei token di sessione, che vengono poi riutilizzati tramite proxy residenziali per accedere agli account senza destare sospetti.
Come funziona la catena di attacco
La sequenza inizia con una telefonata: la vittima, spesso un direttore o un vicepresidente, riceve istruzioni per accedere a un sito che imita la procedura di autenticazione aziendale. I domini utilizzati sono centinaia, molti dei quali imitano aziende reali. Dopo il login, gli aggressori esplorano SharePoint e Microsoft Entra ID per individuare dati e documenti di valore, sfruttando ricerche avanzate e accessi massivi. L'esfiltrazione avviene in blocco, seguita da una richiesta di riscatto inviata direttamente alla vittima.
Non c'è traccia di malware installato né di movimenti laterali sulla rete: tutto si svolge tramite sessioni legittime, rendendo difficile l'individuazione. Gli accessi sospetti provengono da infrastrutture come NodeMaven e da IP geograficamente vicini alle vittime, aumentando la credibilità dell'attacco.
Gruppi e infrastrutture dietro la minaccia
PREY-0058 mostra forti affinità operative con UNC6671, già monitorato da Mandiant, e con il gruppo Cinder, considerato una possibile evoluzione delle operazioni Pink. Tuttavia, le etichette cambiano rapidamente: si tratta di una rete fluida di affiliati e crew che condividono infrastrutture di phishing, più che di un singolo attore identificabile. Google aveva già segnalato questa frammentazione a inizio maggio.
Le vittime si concentrano nei settori costruzioni, sanità, immobiliare, finanza e servizi professionali. L'assenza di malware e la capacità di aggirare i controlli tradizionali rendono la minaccia particolarmente insidiosa per le aziende che affidano la sicurezza solo a strumenti endpoint.
Difese possibili e segnali di compromissione
Gli esperti Arctic Wolf raccomandano di rafforzare le policy di Conditional Access, adottare MFA resistenti al phishing e limitare i permessi di accesso ai dati su SharePoint. Fondamentale anche la formazione di dipendenti e help desk sui rischi del vishing. Segnali d'allarme includono accessi anomali tramite proxy residenziali, attività di discovery e raccolta massiva su SharePoint, e la comparsa di nuovi domini di autenticazione sospetti.
Il fenomeno non è isolato: la crescente sofisticazione degli attacchi di social engineering e furto di credenziali è stata già documentata in precedenti indagini che hanno coinvolto piattaforme cloud e sviluppatori di primo piano.
La realtà è che la sicurezza delle identità digitali aziendali non può più basarsi su barriere statiche o su una fiducia cieca nei processi MFA tradizionali. I gruppi come PREY-0058 dimostrano che la combinazione di social engineering, infrastrutture di phishing e sfruttamento dei token può aggirare anche le difese più aggiornate. Solo un approccio proattivo, che unisce monitoraggio continuo, formazione e limitazione dei privilegi, può ridurre il rischio di vedere i dati aziendali finire nelle mani sbagliate. Chi sottovaluta la componente umana e la rapidità di adattamento di questi gruppi si espone a ricatti e danni reputazionali difficili da recuperare.
