L'account che nessuno usa più è quello che gli attaccanti cercano

La casella “scanner@” creata per far arrivare le scansioni della multifunzione. L’utente “prova” usato dal tecnico durante la migrazione a Microsoft 365. L’account “segreteria2” aperto per un progetto finito da tempo. Nessuno ci entra da mesi, nessuno ricorda la password. Ma la password c’è, e spesso è la stessa con cui l’account è stato creato.

È esattamente questo tipo di account che ha ceduto in una campagna documentata da Proofpoint e ripresa oggi da The Hacker News.

Cosa è successo

Tra fine luglio e metà agosto un gruppo di attaccanti ha preso di mira 28 organizzazioni che usano Microsoft 365, quasi tutte in Cile, tra cui un grande gruppo della distribuzione e due istituti finanziari. Hanno provato ad accedere a oltre 5.700 account, con più di 32.000 tentativi di login in meno di un mese.

Lo strumento usato si chiama TeamFiltration: nasce come software per i test di sicurezza autorizzati, ma è pubblico e da tempo viene usato anche dai criminali. Serve a scoprire quali indirizzi esistono in un’organizzazione e poi a provare su tutti poche password molto probabili. È la tecnica chiamata password spraying: invece di tentare mille password su un solo utente (cosa che fa scattare i blocchi), se ne prova una o due su migliaia di utenti.

Il dato interessante non è tanto la scala, quanto il risultato. Gli account effettivamente violati sono stati sette. E secondo i ricercatori avevano tutti le stesse caratteristiche:

• erano account funzionali o di servizio, non caselle personali di dipendenti;
• avevano ancora la password impostata alla creazione, mai cambiata;
• non avevano l’autenticazione a più fattori (MFA);
• nessuno li aveva mai usati davvero: non c’era traccia di accessi legittimi precedenti.

Sei di questi sette sono caduti nel giro di pochi minuti, segno che condividevano una password prevedibile, probabilmente quella “standard” usata da chi li aveva creati.

Cosa hanno fatto una volta dentro

Da un account di servizio di Microsoft 365 si arriva a molto più di una casella email. Secondo la ricostruzione di Proofpoint, gli attaccanti hanno aperto Teams, Outlook, OneDrive e SharePoint alla ricerca di documenti e conversazioni, e in un caso hanno iniziato a esplorare l’infrastruttura interna nel giro di un paio di minuti dall’accesso.

C’è però un dettaglio incoraggiante: quando hanno provato a entrare nella VPN aziendale, sono stati fermati, perché lì l’MFA e le regole di accesso condizionale erano attive. È la dimostrazione pratica che le protezioni funzionano, quando sono applicate a tutti gli account e non solo a quelli “importanti”.

Perché riguarda anche le piccole realtà

Si potrebbe pensare che una campagna contro grandi aziende cilene sia lontana dalla realtà di una PMI parmense o di un’associazione. In Security Smart vediamo il contrario: quando facciamo un’analisi degli account su un tenant Microsoft 365 di un cliente, gli account dimenticati saltano fuori quasi sempre.

Le situazioni tipiche sono queste:

• caselle condivise trasformate in utenti normali, con una password che conoscono in cinque;
• account per dispositivi, come stampanti e scanner che inviano email, configurati anni fa;
• utenti di test o di migrazione lasciati attivi dal fornitore;
• ex collaboratori, volontari o docenti mai disattivati a fine rapporto o a fine anno scolastico;
• account esclusi dall’MFA “perché altrimenti la stampante non funziona”.

Il problema, per le organizzazioni più piccole, è che spesso nessuno guarda i log di accesso. Un accesso anomalo su un account che non usa nessuno può restare invisibile per settimane.

C’è poi il lato GDPR. Se da un account compromesso si arriva a documenti con dati personali (dipendenti, clienti, famiglie degli studenti, soci), si tratta di una violazione da valutare ed eventualmente notificare al Garante entro 72 ore. E un account con password mai cambiata e senza MFA difficilmente può essere considerato una misura di sicurezza “adeguata”.

Cosa fare, in pratica

• Fate l’inventario degli account. Dal centro di amministrazione di Microsoft 365 (o di Google Workspace) esportate l’elenco degli utenti e guardate la data dell’ultimo accesso. Ogni account che non si usa da mesi va giustificato, oppure disattivato.
• Convertite ciò che si può convertire. Le caselle usate da più persone vanno trasformate in cassette postali condivise, che non hanno una password propria e si aprono solo tramite gli account personali. Gli utenti di test e di migrazione vanno eliminati.
• Cambiate le password “di creazione”. Qualunque account che debba restare attivo deve avere una password lunga e unica, diversa da quella con cui è stato creato e da quella degli altri account.
• Estendete l’MFA a tutti, senza eccezioni silenziose. Se un dispositivo o un’applicazione non supporta l’MFA, va trovata una soluzione alternativa (ad esempio l’invio tramite un connettore dedicato) e non una deroga permanente. Le impostazioni di sicurezza predefinite di Microsoft sono già un buon punto di partenza.
• Legate la chiusura degli account ai processi reali. Fine di un contratto, fine dell’anno scolastico, cambio di fornitore: inserite la disattivazione degli account nella procedura di uscita, con un responsabile preciso.

Matteo Gianniello — Consulente privacy e cyber security