Le sessioni Microsoft 365 rubate trasformano le regole della posta in arrivo in un motore di frode
Un caso di BEC solo cloud mostra come il replay della sessione, non il malware, possa dare agli aggressori un controllo sufficiente per nascondere le email di pagamento e deviare il denaro dei fornitori.
La parte pericolosa delle moderne compromissioni email non è sempre la pagina di accesso. In questo caso, l'arma più efficace era la sessione stessa: una volta che un aggressore otteneva un token di sessione valido di Microsoft 365 tramite phishing adversary-in-the-middle, la casella di posta poteva essere usata come se l'utente legittimo fosse ancora connesso. Questo è importante perché la casella di posta è spesso il punto in cui fatture, approvazioni e modifiche ai pagamenti transitano all'interno di un'organizzazione.
Fatti rapidi
- Il phishing AiTM può catturare una sessione Microsoft 365 attiva e aiutare un aggressore ad aggirare l'MFA.
- Le regole nascoste della posta in arrivo sono una classica tattica di persistenza della casella nelle abusi della posta elettronica cloud.
- L'obiettivo segnalato era la frode nei pagamenti ai fornitori, non il furto di dati.
- Nelle informazioni disponibili non sono stati identificati l'organizzazione vittima o il numero di utenti coinvolti.
- Le linee guida di Microsoft e dell'FBI trattano entrambe la manipolazione della casella di posta come un serio segnale di allarme BEC.
Come funziona la catena di abuso
Questo schema si comprende meglio come replay dell'identità più persistenza della casella di posta. Un kit di phishing AiTM si colloca tra l'utente e il vero flusso di accesso, rubando il materiale di autenticazione dopo che la vittima completa il login. Se l'aggressore ottiene un token di sessione utilizzabile, la sessione può essere riutilizzata senza ripetere la sfida MFA originale. In termini pratici, significa che l'aggressore può entrare nella casella di posta apparendo come l'utente legittimo.
Una volta dentro, le regole nascoste della posta in arrivo diventano la parte silenziosa dell'operazione. Microsoft documenta comportamenti delle regole come lo spostamento dei messaggi in cartelle meno visibili, la marcatura della posta come letta, l'eliminazione delle tracce o l'inoltro della posta in alcuni ambienti. In un caso BEC, anche una piccola modifica a una regola può bastare a seppellire gli avvisi di pagamento, ritardare la revisione umana o far sembrare ordinarie fatture fraudolente. La casella di posta smette di essere uno strumento di comunicazione e inizia a funzionare come un punto di controllo del flusso di lavoro dei pagamenti.
L'aspetto finanziario è ciò che rende tutto questo particolarmente pericoloso. Il BEC non ha bisogno di ransomware o strumenti distruttivi per causare danni. Ha solo bisogno di fiducia, tempismo e di una traccia email credibile. Se le istruzioni del fornitore vengono modificate mentre la casella di posta viene manipolata silenziosamente, il personale contabile può elaborare un pagamento che sembra di routine ma finisce in un conto controllato dall'aggressore.
Dal punto di vista difensivo, la lezione è scomoda ma chiara: l'MFA aiuta, ma una MFA soggetta a phishing da sola non impedisce il replay di una sessione rubata. Ecco perché contano i metodi resistenti al phishing, la protezione dei token e un controllo degli accessi condizionale rigoroso. Gli amministratori devono anche monitorare regole sospette nella posta in arrivo e comportamenti di inoltro inattesi, perché spesso sono le prime tracce tecniche di una compromissione della casella di posta.
Al momento della stesura, le informazioni pubbliche non hanno ancora definito in modo completo la portata dell'incidente. Le informazioni disponibili supportano un'analisi del rischio, non un'affermazione più ampia su tutto ciò che gli aggressori potrebbero aver toccato.
Conclusione
La lezione va oltre una singola casella di posta: nella posta elettronica cloud, l'aggressore non deve sempre entrare con clamore. A volte la vittoria arriva prendendo in prestito l'identità, riscrivendo il comportamento della casella di posta e lasciando che il normale processo aziendale porti avanti la frode. La difesa più forte non è solo bloccare gli accessi - è rilevare quando la fiducia è stata silenziosamente riutilizzata per altri scopi.
TECHCROOK
hardware security key: Un dispositivo di accesso compatto resistente al phishing, usato con account di posta elettronica e identità supportati. Aggiunge un secondo fattore fisico per gli accessi ed è un'opzione pratica per gli utenti che gestiscono fatture, approvazioni e flussi di lavoro dei pagamenti ai fornitori.
WIKICROOK
- Session token: Una credenziale temporanea che consente a un utente già autenticato di continuare ad accedere a un servizio senza reinserire la password.
- Adversary-in-the-middle (AiTM): Un metodo di phishing in cui l'aggressore inoltra il traffico tra vittima e servizio per rubare credenziali o dati di sessione.
- Business email compromise (BEC): Uno schema fraudolento che abusa di account email o flussi di lavoro fidati per deviare pagamenti o approvazioni.
- Inbox rule: Un'azione email automatizzata che può spostare, nascondere, eliminare o inoltrare i messaggi in arrivo.
- Autenticazione resistente al phishing: Metodi di accesso come passkey o chiavi hardware progettati per resistere al furto di credenziali e al replay dei token.
