- Campagna di raccolta di credenziali che si spaccia per notifiche relative alle attività di Microsoft Teams
- Utilizzo del servizio di invio e-mail SendGrid e delle risorse relative ai modelli di formazione sulla sicurezza CanIPhish
- Oltre 9.000 casi rilevati tra gennaio e febbraio 2026
- Organizzazioni con sede negli Stati Uniti operanti in diversi settori verticali, in particolare nei settori finanziario, dei servizi professionali, manifatturiero e sanitario
- Furto di credenziali tramite false notifiche relative a attività da svolgere
Threat intelligence
Campagna di phishing volta a sottrarre credenziali a tema Microsoft Teams che sfrutta risorse formative legittime
Punti principali
Panoramica della campagna
Il team di ricerca sulle minacce di Mimecast ha individuato una campagna di phishing finalizzata al furto di credenziali che sfrutta a proprio vantaggio materiali didattici legittimi relativi alla sensibilizzazione in materia di sicurezza. Gli autori delle minacce hanno modificato i modelli di simulazione di phishing disponibili pubblicamente su CanIPhish, una piattaforma legittima di formazione sulla sicurezza, per creare esche convincenti ispirate a Microsoft Teams e rivolte agli utenti aziendali.
Catena di attacchi
La campagna adotta un approccio articolato in più fasi, concepito per sfruttare la fiducia degli utenti nei confronti degli strumenti di comunicazione aziendale a loro familiari:
1. Consegna iniziale: le e-mail vengono inviate tramite l’infrastruttura di SendGrid utilizzando account compromessi
2. Esca di ingegneria sociale: i destinatari ricevono quella che sembra essere una notifica di Microsoft Teams relativa a un’attività assegnata, consistente nella revisione di un rapporto sull’anzianità dei crediti ( "Aging Report)" relativo alla contabilità fornitori o alla documentazione finanziaria
3. Uso improprio dei modelli: gli autori delle minacce hanno ottenuto modelli HTML dagli esempi di simulazione di phishing accessibili al pubblico su CanIPhish. Questi modelli, originariamente concepiti per la formazione in materia di sicurezza, sono stati modificati per:
- Sostituire gli URL di simulazione con il dominio utilizzato per il furto di credenziali
- Personalizzare i nomi delle aziende e i dati dei destinatari per le organizzazioni selezionate
I modelli modificati mantengono i riferimenti al bucket AWS S3 di CanIPhish per le risorse grafiche (https://caniphish.s3.ap-southeast-2.amazonaws.com/), rafforzando ulteriormente l'impressione di legittimità.
4. Acquisizione delle credenziali: gli utenti che fanno clic sui pulsanti “ "” (Apri in Teams), “" ” (Apri in Teams) o “ "” (Apri nel browser)" vengono reindirizzati alla pagina riportata di seguito, dove devono fare clic su un altro link per aprire il file.
