Microsoft avverte di un attacco di phishing mirato agli utenti di Office 365
Microsoft sta avvertendo i suoi clienti di Office 365 di una diffusa campagna di phishing per rubare nomi utente e password.
Il team di intelligence sulle minacce di Microsoft 365 Defender ha pubblicato i suoi risultati sul suo blog sulla sicurezza, che descrive in dettaglio come vengono eseguiti gli attacchi e consiglia cosa possono fare le persone per difendersi.
CHUYN/Getty Images
L'attacco funziona guidando gli utenti di Office 365 verso una serie di collegamenti e reindirizzamenti a una pagina di Google reCAPTCHA. Gli utenti vengono indirizzati a una pagina di accesso falsa in cui vengono rubate le loro credenziali, compromettendoli.
Secondo il team di intelligence, la verifica di Google reCAPTCHA aggiunge un falso senso di legittimità agli utenti che sono indotti a pensare che l'intero processo vada bene.
Gli hacker si affidano a uno strumento di marketing noto come reindirizzamento aperto, un'e-mail con un collegamento che porta l'utente a un dominio diverso. I redirector aperti sono stati abusati in passato per indirizzare gli utenti a siti dannosi.
Il team Intelligence consiglia agli utenti di passare con il mouse sul collegamento in un'e-mail per controllare la destinazione prima di fare clic. L'idea è che l'utente possa vedere se il nome di dominio è legittimo e associato a un sito Web che conosce e di cui si fida.
Google, invece, la pensa diversamente. In un post sulla loro Bughunter University, un sito dedicato alla ricerca di bug e glitch, Google risponde alle accuse secondo cui i redirector aperti non sono sicuri.
Kiyoshi Hijiki/Getty Images
Il post afferma che mentre gli stessi redirector aperti non sono una vulnerabilità, ammette che possono essere abusati per altre vulnerabilità. La società non è d'accordo con il consiglio di passare con il mouse sul collegamento prima di fare clic, poiché non è sempre il più preciso e gli utenti in genere non esaminano l'URL dopo lo spostamento.
Tuttavia, Google non offre alcun tipo di consiglio sulla difesa oltre a contattarli.