Segnalazione diretta di abusi

Presentazione

Il team di ricerca sulle minacce di Mimecast continua a rilevare campagne di e-mail dannose che sfruttano la funzionalità Direct Send di Microsoft 365. Questo vettore di attacco consente agli autori delle minacce di inviare e-mail che sembrano provenire da utenti interni senza che sia necessaria alcuna autenticazione né la compromissione di un account. Questa tecnica ha acquisito sempre maggiore diffusione poiché riesce a eludere efficacemente le soluzioni di sicurezza perimetrale e sfrutta la fiducia intrinseca che gli utenti ripongono nelle comunicazioni interne. Questa minaccia emergente rappresenta una grave lacuna nelle difese di sicurezza della posta elettronica per le organizzazioni che utilizzano Microsoft 365.

Metodologia di attacco

Direct Send è una funzionalità ufficiale di Microsoft 365 progettata per consentire a dispositivi, applicazioni e servizi di terze parti di inviare e-mail direttamente alle caselle di posta degli utenti senza autenticazione. Gli autori degli attacchi sfruttano questa funzionalità collegandosi all'endpoint SMTP di Microsoft 365 e inviando e-mail che simulano mittenti interni. Il processo di attacco prevede tre fasi fondamentali:

1. Gli autori degli attacchi individuano domini aziendali validi e indirizzi e-mail dei destinatari attraverso attività di ricognizione.
2. Le e-mail sono redatte in modo da fingere di provenire da utenti interni o reparti affidabili, spesso imitando comunicazioni aziendali comuni quali notifiche del reparto IT o comunicati delle Risorse Umane.
3. Queste e-mail contraffatte vengono inviate direttamente tramite l'infrastruttura di Microsoft 365, dove appaiono come messaggi instradati internamente.

A differenza dello spoofing tradizionale delle e-mail, l’abuso della funzione Direct Send non richiede credenziali di autenticazione, nome utente, password o token. Agli autori degli attacchi è sufficiente conoscere il dominio dell'organizzazione presa di mira e disporre di indirizzi dei destinatari validi. Questa tecnica è particolarmente efficace poiché le e-mail transitano attraverso l'infrastruttura affidabile di Microsoft 365, apparendo così legittime sia ai sistemi di sicurezza che agli utenti finali. L'assenza di requisiti di autenticazione implica che gli autori degli attacchi possano assumere l'identità di qualsiasi utente interno senza dover compromettere account legittimi.

Informazioni sulla campagna

Le organizzazioni sono esposte a un rischio significativo di furto di credenziali, business email compromise e diffusione di malware attraverso questo vettore di attacco. La fiducia implicita associata alle comunicazioni interne aumenta la probabilità che gli utenti interagiscano con contenuti dannosi.