Furto di credenziali Microsoft 365 con email della PA

A distanza di circa un mese dalla precedente campagna, il CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale) ha rilevato nuovi attacchi di phishing che sfruttano account email compromessi appartenenti a Pubbliche Amministrazioni. Lo scopo dei cybercriminali è rubare le credenziali di Microsoft 365.

Descrizione della campagna di phishing

I cybercriminali hanno innanzitutto ottenuto l’accesso agli account di alcune Pubbliche Amministrazioni (non è noto quali), probabilmente tramite ingegneria sociale (e dipendenti distratti). I messaggi sembrano inviati verso l’indirizzo email del mittente. In realtà, gli indirizzi email delle vittime sono indicati nel campo CCN (copia conoscenza nascosta).

In allegato ci sono diversi file PDF. Le vittime sono invitate a cliccare sul link presente nel messaggio per visualizzarli. Lo stesso link è presente nei documenti. Se il destinatario clicca sul link viene mostrata una risorsa sulla piattaforma di collaborazione Figma. L’uso di quest’ultima e degli indirizzi email delle Pubbliche Amministrazioni aggiungono credibilità, quindi le vittime non si accorgono dell’inganno.

Nella risorsa caricata su Figma è presente un altro link che servirebbe per visualizzare o scaricare un documento importante (ad esempio una fattura). Viene in realtà mostrata una pagina di login simile a quella legittima di Microsoft 365. Le credenziali inserite dall’utente finiranno nelle mani dei cybercriminali che potranno così accedere all’account istituzionale e inviare altre email di phishing.

Gli utenti devono prestare molta attenzione a questo tipo di attacco informatico, in quanto è come lasciare aperta la porta di casa. Gli esperti del CERT-AgID hanno avvisato le amministrazioni coinvolte. Forse sarebbe meglio implementare misure preventive e protettive più adeguate.