Un attore finanziario, identificato come Doubloon Dredger, utilizza account Notion compromessi e PDF malevoli per rubare token di autenticazione tramite la piattaforma EvilTokens.
Negli ultimi mesi, il team di Threat Intelligence di Sublime ha scoperto una nuova operazione di phishing che prende di mira le organizzazioni attraverso Notion, la popolare piattaforma di collaborazione digitale. L’attore, denominato Doubloon Dredger, combina account Notion falsi, PDF manipolati e una tecnica di “device code” per sottrarre token di autenticazione alle vittime, vendendo poi l’accesso tramite il servizio EvilTokens, un modello di phishing‑as‑a‑service (PhaaS).
EvilTokens è operativo da almeno febbraio 2026 e viene commercializzato attraverso un canale Telegram privato. Il modello PhaaS permette a gruppi con competenze limitate di lanciare campagne di phishing sofisticate senza dover sviluppare l’infrastruttura da zero. Il servizio fornisce non solo la pagina di raccolta del device code, ma anche un’interfaccia per gestire le credenziali rubate, rendendo l’intero processo più veloce e redditizio.
L’analisi di Sublime ha identificato 14 PDF aggiuntivi con metadati identici e una struttura di link sovrapposti. Alcuni di questi PDF reindirizzano a pagine di phishing gestite da Kratos, suggerendo una possibile condivisione di risorse tra diversi gruppi.
Inoltre, il team ha riscontrato somiglianze tra lo JavaScript di prima fase di questa campagna e quello utilizzato da Tycoon2FA, un altro servizio di device code harvesting. Su 603 script correlati, 416 decodificavano verso EvilTokens e 187 verso Tycoon2FA, indicando che Doubloon Dredger potrebbe essere cliente di entrambi i PhaaS. Questo è particolarmente rilevante perché, nonostante un’operazione globale avesse temporaneamente interrotto Tycoon2FA, il servizio è ripreso rapidamente, dimostrando la resilienza di questi mercati criminali.
Le campagne hanno colpito organizzazioni in produzione, telecomunicazioni, retail, sanità e logistica. La varietà di settori indica che l’attore non ha un focus verticale, ma mira a massimizzare il ritorno economico sfruttando la fiducia che gli utenti ripongono in Notion per la condivisione di documenti sensibili.
Sublime suggerisce le seguenti contromisure per mitigare il rischio:
L’attacco di Doubloon Dredger evidenzia una tendenza crescente: i criminali sfruttano piattaforme SaaS legittime per bypassare i controlli di autenticità delle email. L’uso di account Notion compromessi permette di sfruttare la reputazione del dominio, rendendo più difficile per i filtri di posta distinguere il male dal bene.
Allo stesso tempo, la proliferazione di servizi PhaaS come EvilTokens e Tycoon2FA abbassa la barriera d’ingresso per gruppi di minaccia meno esperti, aumentando la frequenza di campagne di phishing sofisticate. La capacità di questi servizi di offrire infrastrutture ridondanti (ad esempio più link nei PDF) complica ulteriormente le analisi forensi.
La campagna di Doubloon Dredger rappresenta un caso emblematico di come gli attori finanziari possano combinare social engineering, abuso di piattaforme SaaS e servizi di phishing commerciali per ottenere accessi privilegiati a reti aziendali. Le organizzazioni dovrebbero rivedere le proprie politiche di autenticazione, rafforzare la formazione degli utenti e monitorare attentamente le attività legate a Notion e a Microsoft Azure AD per limitare l’esposizione a questo tipo di minaccia.
L’articolo è stato redatto sulla base delle informazioni fornite da Sublime Threat Intelligence e da fonti pubbliche disponibili a ottobre 2026.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
