Regno Unito e alleati mettono in guardia dagli attacchi “zero-click” sostenuti dalla Russia contro i sistemi di posta elettronica occidentali

Il National Cyber Security Centre (NCSC) del Regno Unito e le agenzie per la cybersicurezza di 15 Paesi partner hanno avvertito che un gruppo di minacce sostenuto dallo Stato russo sta utilizzando una tecnica di phishing “zero-click” per sottrarre dati email alle organizzazioni occidentali.

La campagna è stata attribuita a LAUNDRY BEAR, un gruppo di minacce persistenti avanzate associato alla raccolta clandestina di email. Secondo l’avviso congiunto, l’attività è iniziata nel luglio 2025 e ha comportato la compromissione di organizzazioni che utilizzano Zimbra Collaboration Suite (ZCS), una piattaforma ampiamente diffusa per la posta elettronica e la collaborazione.

Negli Stati Uniti, le vittime hanno incluso organizzazioni dei settori della difesa, della pubblica amministrazione, dell’istruzione, dell’energia, delle forze dell’ordine, dei media, della tecnologia e del non profit. Le agenzie hanno affermato che la campagna è coerente con attività di spionaggio e che quasi certamente viene condotta con il sostegno dello Stato russo.

Un modello di phishing diverso

La tecnica, denominata “beehive” o “Ulej”, non richiede che la vittima faccia clic su un link, apra un allegato o interagisca in altro modo con il messaggio. Al contrario, la semplice visualizzazione di un’email dannosa tramite una versione vulnerabile del servizio webmail ZCS può essere sufficiente ad attivare la compromissione.

Una volta ottenuto l’accesso, gli aggressori possono mantenere un accesso ampio e persistente agli account email e raccogliere informazioni sensibili. L’avviso segnala che il metodo potrebbe essere adattato per sfruttare altre vulnerabilità e piattaforme email mentre le organizzazioni applicano le patch alle implementazioni ZCS interessate.

Indicazioni per la mitigazione

Alle organizzazioni che utilizzano ZCS viene raccomandato di applicare immediatamente gli aggiornamenti di sicurezza disponibili, esaminare gli indicatori tecnici riportati nell’avviso e rafforzare il monitoraggio di attività insolite a livello di rete e degli account. L’NCSC raccomanda inoltre alle organizzazioni del Regno Unito di iscriversi al servizio gratuito Early Warning, che fornisce notifiche sulle attività potenzialmente dannose che interessano le loro reti.

I partner internazionali hanno dichiarato che l’analisi tecnica suggerisce che gli aggressori abbiano testato ampiamente le tecniche contro obiettivi ucraini prima di utilizzarle contro organizzazioni dei Paesi NATO. Gli analisti hanno inoltre rilevato indicazioni del possibile impiego dell’intelligenza artificiale nello sviluppo di alcune parti del codice relativamente semplice alla base dell’operazione.

L’avviso è stato emesso congiuntamente dalle agenzie di Regno Unito, Australia, Canada, Repubblica Ceca, Danimarca, Estonia, Finlandia, Francia, Italia, Moldavia, Polonia, Spagna, Svezia, Paesi Bassi, Nuova Zelanda e Stati Uniti. Le agenzie hanno esortato le organizzazioni a considerare l’incidente come un avvertimento del fatto che i gruppi ostili stanno adattando i metodi di phishing per sfruttare software aziendali affidabili e ridurre la necessità di interazione da parte degli utenti.