Una nuova ondata di attacchi di phishing, mascherati da offerte di lavoro, sfrutta pagine di login a schermo intero su dispositivi mobili per rubare credenziali aziendali, aggirando le difese tradizionali.
Ricercatori di sicurezza hanno identificato una sofisticata campagna di phishing che utilizza il pretesto di offerte di lavoro per ingannare i dipendenti e rubare le loro credenziali aziendali. Gli attacchi, monitorati dal team di Zimperium zLabs, si concentrano in particolare sui dispositivi mobili, dove sfruttano tecniche per aggirare le difese degli utenti e delle aziende.
La campagna, collegata all'attività nota come RecruitTrap, impersona aziende note e agenzie di reclutamento attraverso domini web che richiamano termini legati a carriere e occupazione globale. Tra i marchi presi di mira figurano nomi di spicco come Amazon, Apple, Boeing, Deloitte, Emirates Group, Heineken, Lego e Louis Vuitton. L'obiettivo primario non è ottenere dati personali, ma accedere agli account aziendali.
Una caratteristica distintiva di questi attacchi è il metodo di ingegneria sociale impiegato. Mentre sui computer desktop le vittime potrebbero imbattersi in una simulazione di login tramite la tecnica del browser-in-the-browser (BitB), sui dispositivi mobili gli aggressori presentano una pagina di login contraffatta a schermo intero. Questa tattica rimuove elementi visivi tipici del browser, come la barra degli indirizzi, rendendo più difficile per l'utente riconoscere l'inganno e verificare l'autenticità della pagina.
Ulteriori analisi condotte da Zimperium hanno rivelato che il kit di phishing utilizzato in questi attacchi effettua una sorta di pre-qualificazione. Le informazioni inviate vengono filtrate: vengono rifiutati gli indirizzi email personali, mentre viene richiesta esplicitamente l'autenticazione tramite credenziali aziendali. Questo indica chiaramente che la campagna è stata progettata per dare priorità all'acquisizione di accessi a risorse aziendali, piuttosto che a semplici account email individuali.
L'accesso a un account aziendale compromesso può avere conseguenze significative. Gli aggressori potrebbero ottenere token OAuth, che consentono l'accesso a comunicazioni interne, applicazioni cloud e dati sensibili. Questo tipo di accesso iniziale può poi essere sfruttato per muoversi lateralmente all'interno della rete aziendale, aumentando il rischio di violazioni più ampie.
Un aspetto preoccupante evidenziato dalla ricerca è la persistenza dell'infrastruttura utilizzata per questi attacchi. I domini di phishing, invece di spostarsi continuamente su reti oscure, tendono a rimanere attivi su provider di hosting, cloud e servizi di parcheggio domini per periodi prolungati. Amazon e SEDO sono stati identificati tra i provider più frequentemente associati a questa attività.
Questa persistenza crea delle lacune nelle tradizionali blocklist URL. I siti web fraudolenti di nuova registrazione possono rimanere operativi e accessibili prima che vengano identificati, analizzati e aggiunti ai feed di minacce pubblici. Ciò rende difficile per le soluzioni di sicurezza basate su elenchi statici bloccare efficacemente questi attacchi.
Per contrastare queste minacce e simili, Zimperium raccomanda un approccio di sicurezza multilivello. È fondamentale rafforzare la protezione delle identità aziendali direttamente sui dispositivi mobili, che rappresentano un punto di accesso sempre più comune. Inoltre, è necessario implementare l'ispezione dinamica del traffico di rete per rilevare tentativi di raccolta di credenziali in tempo reale.
Affidarsi esclusivamente a gateway web focalizzati sui desktop e a blocklist URL statiche non è più sufficiente. Le aziende devono adottare soluzioni che monitorino attivamente il comportamento e il traffico di rete, specialmente sui dispositivi mobili, per identificare e bloccare tempestivamente le attività sospette prima che possano causare danni significativi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
