Minacce · 48 giorni fa
Microsoft dice che Storm-3032 e Storm-3121 non stanno più solo entrando negli account Microsoft 365: ora appaiono monetizzare gli accessi rubati rivendendoli a gruppi di estorsione come ShinyHunters. La campagna passa da chiamate e SMS ai telefoni personali dei dipendenti, fuori dal perimetro aziendale, e questo lascia un’impronta forense molto più sottile della classica intrusione su endpoint gestiti.
Il trucco è farsi passare per l’IT e spingere la vittima a completare un sign-in Microsoft o un flusso di device code che consegna all’attaccante un grant di accesso. Una volta dentro, gli operatori usano anche Microsoft Graph per cercare dati appetibili e poi aggiungono un proprio fattore MFA sull’identità compromessa, così il foothold può sopravvivere al logout o alla scadenza della sessione.
Per gli ambienti BYOD, il punto critico è che il contatto iniziale avviene dove i log aziendali vedono poco o nulla. Se il primo approdo resta il telefono personale, l’indagine può perdere il momento esatto della compromissione e l’accesso può continuare a circolare come merce per altri attori criminali.
2 fonti che coprono questa storia
Voice Callers Exploit BYOD to Reach Microsoft 365, Corporate Data
Threat actors are leveraging Graph API to identify lucrative targets, then passing their access to extortion groups like ShinyHunters.
Attackers call employees' personal phones to break into Microsoft 365 accounts - Help Net Security
Attackers use social engineering, calling personal phones, to steal Microsoft 365 access and pull SharePoint and OneDrive data.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-11