Una campagna di phishing utilizza falsi colloqui con i brand per colpire gli account Google

Un’operazione di phishing si spaccia per oltre 30 grandi aziende, tra cui Adobe, Netflix, Coca-Cola, OpenAI e altre, nel tentativo di rubare le credenziali degli account Google di professionisti del marketing. Secondo i ricercatori di sicurezza, la campagna si basa su falsi contatti per colloqui di lavoro che sembrano provenire da reclutatori legittimi.

Secondo l’analisi di Will Thomas di Team Cymru, gli attaccanti stanno inviando messaggi che affermano di provenire da team addetti alle assunzioni alla ricerca di candidati per ruoli nel marketing. Le email utilizzano i nomi e le foto di reclutatori reali e indirizzano i destinatari a pagine di pianificazione progettate per apparire credibili.

Come funziona la campagna

L’operazione sembra fare affidamento su servizi cloud legittimi per nascondere l’infrastruttura dannosa dietro molteplici livelli di reindirizzamento. I messaggi di phishing utilizzano la piattaforma per le risorse umane PeopleForce e un dominio associato a Salesforce Marketing Cloud prima di indirizzare le vittime a una pagina di destinazione dannosa.

I ricercatori hanno scoperto che la catena di reindirizzamenti inizia con un dominio associato al servizio ExactTarget di Salesforce, passa attraverso Wise Agent, una piattaforma CRM basata sul cloud, e infine approda al sito di phishing. Questo approccio aiuta i link a sembrare affidabili, rendendo al contempo più difficile individuare la destinazione finale.

La campagna utilizza almeno 34 domini che imitano brand di diversi settori:

• Compagnie aeree e aziende del settore dei viaggi, tra cui American Airlines, Booking.com, Delta Air Lines e United Airlines
• Brand del settore alimentare e delle bevande, come Coca-Cola, PepsiCo e Red Bull
• Marchi della moda e del lusso, tra cui Adidas, Louis Vuitton, Sephora e Levi’s
• Aziende di recruiting, consulenza e tecnologia come Adobe, Aquent, ManpowerGroup, McKinsey & Company e OpenAI
• Brand del settore alberghiero, del marketing, dell’intrattenimento e dello sport, tra cui Marriott, Omnicom Group, FIFA e Netflix

BleepingComputer riferisce che l’attività è in corso da almeno cinque mesi. Secondo quanto riportato, le prime versioni utilizzavano indirizzi Outlook che includevano il nome dell’azienda impersonata.

In un esempio, un messaggio si spacciava per un reclutatore di Adidas e invitava il destinatario a fissare un colloquio. Facendo clic sul link si accedeva a un sito che richiedeva all’utente di effettuare l’accesso con Google per continuare. La richiesta di accesso era un’imitazione browser-in-the-browser, ovvero una falsa finestra di accesso integrata direttamente nella pagina utilizzando lo stile web standard, anziché una vera finestra di dialogo del browser.

Non è ancora chiaro come gli attaccanti abbiano ottenuto l’accesso ai servizi legittimi utilizzati nella catena di reindirizzamento. I ricercatori hanno affermato che l’abuso non implica necessariamente che tali piattaforme siano state compromesse e potrebbe riguardare account creati di recente oppure credenziali rubate.