Le intrusioni Microsoft 365 diventano merce per estorsori
Microsoft dice che Storm-3032 e Storm-3121 non stanno più solo entrando negli account Microsoft 365: ora appaiono monetizzare gli accessi rubati rivendendoli a gruppi di estorsione come ShinyHunters. La campagna passa da chiamate e SMS ai telefoni personali dei dipendenti, fuori dal perimetro aziendale, e questo lascia un’impronta forense molto più sottile della classica intrusione su endpoint gestiti.
Il trucco è farsi passare per l’IT e spingere la vittima a completare un sign-in Microsoft o un flusso di device code che consegna all’attaccante un grant di accesso. Una volta dentro, gli operatori usano anche Microsoft Graph per cercare dati appetibili e poi aggiungono un proprio fattore MFA sull’identità compromessa, così il foothold può sopravvivere al logout o alla scadenza della sessione.
Per gli ambienti BYOD, il punto critico è che il contatto iniziale avviene dove i log aziendali vedono poco o nulla. Se il primo approdo resta il telefono personale, l’indagine può perdere il momento esatto della compromissione e l’accesso può continuare a circolare come merce per altri attori criminali.