Il CSIRT Italia ha redatto un bollettino, dopo aver rilevato il riacutizzarsi di una campagna di phishing a tema Zimbra, con il rischio di furto di dati per gli utenti.
Impatto del phishing a tema Zimbra
Il CSIRT Italia ha recentemente rilevato la ripresa di una campagna di phishing a tema Zimbra, una delle principali vulnerabilità cyber dell’ultimo periodo. Il fenomeno era già stato trattato nell’ambito dell’AL01/240524/CSIRT-ITA e dell’AL03/240207/CSIRT-ITA, con l’obiettivo di carpire le credenziali utente delle potenziali vittime.
A veicolare la campagna malevola è l’indirizzo di posta elettronica del singolo utente, che si ritrova di fronte ad una richiesta di confermare i dati relativi al proprio account mail. Il rischio, in caso contrario – o almeno questo viene fatto credere – è l’eliminazione dello stesso profilo.
Il messaggio esorta quindi a cliccare sull’URL che si trova nel corpo del testo per procedere alla conferma dell’account mail. Qualora si seguisse il link proposto, il soggetto si trova ad essere reindirizzato ad una landing page malevola, con una struttura ben definita.
Quest’ultima propone infatti “un form di autenticazione riportante loghi e riferimenti riconducibili ad una webmail Zimbra“. Ed è proprio questo il fulcro del sistema dell’illecito.
Nel caso in cui si compilasse il form e poi si effettuasse il login, ci sarà l’invio dei dati “ad una risorsa sotto il controllo” dell’attore illecito che ha portato l’attacco.
Azioni di mitigazione
L’ACN ha per questo fornito una serie di azioni di mitigazione, utili per gli utenti e le organizzazioni nel far fronte a questa tipologia di attacchi. Il tutto, “verificando scrupolosamente le e-mail ricevute” e attivando le seguenti misure aggiuntive:
- fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, diffidando al contempo da comunicazioni inattese.
- Non accedere a collegamenti Internet o a relativi contenuti esterni se non si è certi dell’affidabilità della risorsa.
- Accertarsi della legittimità dei siti che richiedono l’inserimento dei propri dati d’accesso.
Infine, si è sottolineata la raccomandazione nel “valutare la verifica e l’implementazione” – sui propri apparati di sicurezza – degli Indicatori di Compromissione (IoC).
