Il team Mimecast Threat Research ha individuato una campagna attiva di raccolta di credenziali che sfrutta account di posta elettronica compromessi per diffondere messaggi di phishing incentrati su tematiche relative alle risorse umane, spacciandosi per DocuSign e per i dipartimenti delle risorse umane di specifiche aziende. Questa campagna dimostra una notevole maturità operativa grazie all’utilizzo di account compromessi distribuiti geograficamente, al filtraggio dei dispositivi mobili e alle tecniche di aggiramento dei CAPTCHA volte a eludere il rilevamento.
Gestione tempestiva dei processi aziendali di fine anno
Questa campagna è particolarmente preoccupante a causa della tempistica strategica con cui è stata condotta e dello sfruttamento di flussi di lavoro aziendali legittimi. Con l’avvicinarsi dell’ultimo trimestre dell’anno, i dipartimenti delle risorse umane di tutti i settori avviano solitamente le procedure relative all’assegnazione dei bonus, alle valutazioni delle prestazioni di fine anno e all’iscrizione ai piani previdenziali. I dipendenti si aspettano di ricevere comunicazioni attendibili in merito alla retribuzione, il che li rende più vulnerabili alle truffe di phishing incentrate sulle risorse umane. Gli autori delle minacce hanno sfruttato a proprio vantaggio questa aspettativa, creando messaggi convincenti che si inseriscono nel contesto delle normali attività aziendali di fine anno. L'urgenza sottintesa in oggetti di e-mail quali "Concludiamo l'anno nel modo giusto – Compilate il modulo per il bonus!" sfrutta sia la natura urgente delle procedure di fine anno sia l'interesse finanziario dei dipendenti riguardo alle informazioni sui bonus. Questa manipolazione psicologica aumenta in modo significativo la probabilità che l'utente interagisca con contenuti dannosi.
Catena di attacchi
La campagna si articola in un processo articolato in più fasi:
Di seguito sono riportati alcuni degli esempi individuati
Una volta che un utente ha scansionato il codice QR con il proprio dispositivo mobile, viene reindirizzato a una fase di verifica manuale volta a garantire la legittimità dell'operazione.
A questo punto viene richiesto agli utenti di inserire le proprie credenziali
Infrastruttura tecnica
L'analisi di una variante dell'infrastruttura di backend della campagna rivela l'esistenza di un meccanismo di raccolta delle credenziali. Le pagine di phishing utilizzano tecniche di raccolta dati basate su JavaScript con le seguenti caratteristiche:
Il team Mimecast Threat Research ha sviluppato e implementato regole di rilevamento per identificare e bloccare questa campagna. Continuiamo a monitorare questa operazione di minaccia per individuarne l’evoluzione tattica e i cambiamenti a livello di infrastruttura.
Organizzazioni globali
Formazione sulla sensibilizzazione degli utenti:
Ricerca delle minacce:
Scopri come l’unica piattaforma di Mimecast può proteggere il tuo personale, l’intelligenza artificiale e i tuoi dati.
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Threat Intelligence1 set 2026
Threat Intelligence27 ago 2026
