Sublime ha collegato a Doubloon Dredger una campagna che usa account Notion compromessi e PDF malevoli per arrivare ai token di autenticazione Microsoft. I ricercatori hanno trovato anche 603 script collegati, segnale di una struttura ripetibile e non di un’esca isolata.
Il trucco non passa da una finta pagina password. Il messaggio sembra arrivare da un’infrastruttura Notion legittima, supera DKIM, SPF e DMARC, poi porta la vittima dentro il flusso reale di device-code di Microsoft: se il codice viene inserito, l’attaccante ottiene un token di accesso che la vittima non vede e che può durare a lungo.
Per chi usa Notion e Microsoft 365, il punto debole non è solo la posta. La fiducia nella collaborazione condivisa diventa il canale per dirottare l’autenticazione, e i controlli sulla mail possono restare puliti mentre i token finiscono fuori controllo.