Furto degli account Microsoft con Device Code Phishing

Circa tre mesi fa, Microsoft aveva descritto questa tecnica in dettaglio. I ricercatori di Kasperky hanno recentemente rilevato nuove campagne di phishing che sfruttano l’autenticazione con codice dispositivo per rubare gli account degli utenti. La software house russa ha fornito utili consigli per non cadere nella trappola dei cybercriminali.

Attenzione ai codici via email o messaggi

L’autenticazione con un codice viene utilizzata ad esempio per l’accesso ad un account su smart TV, stampanti e altri dispositivi che non hanno un browser web o una tastiera virtuale. Viene quindi mostrato un codice che deve essere inserito tramite smartphone o PC per il login. Nel caso delle app su smart TV viene spesso generato un codice QR che deve essere inquadrato dalla fotocamera dello smartphone.

Dopo aver ricevuto la richiesta di autenticazione, il server Microsoft invia il codice. Se inserito dall’utente viene approvato l’accesso. Il token scade dopo un’ora, quindi il dispositivo invia automaticamente un’altra richiesta per mantenere l’accesso. L’utente non deve così inserire un nuovo codice, ma i cybercriminali sfruttano questa funzionalità per rubare gli account.

L’attacco descritto dagli esperti di Kaspersky inizia con l’invio di un’email con un allegato PDF protetto da password (il mittente è un presunto studio legale). Dopo aver inserito la password (scritta nell’email) viene mostrato un link da cliccare per visualizzare i documenti. Il link apre un’altra pagina in cui è presente un pulsante da cliccare per richiedere un codice di accesso.

La richiesta viene inviata al server Microsoft, quindi l’ignara vittima inserisce il codice nella pagina di autenticazione e permette ai cybercriminali di accedere al suo account, alle email, ai file su OneDrive, alle conversazioni di Teams e altri dati personali.

Gli utenti non devono mai inserire codici ricevuti via email o messaggi, se non hanno avviato la procedura di autenticazione. È sufficiente posizionare il puntatore del mouse sui link per scoprire che il dominio fasullo è aggiunto a quello legittimo di Microsoft.