Microsoft ha identificato una rete di fornitori di phishing che accettano Tether (USDT) come pagamento e ha collegato gli strumenti forniti da tali fornitori a campagne rivolte a fino a 75.000 organizzazioni. Il risultato mette in luce come i fornitori di servizi criminali stiano usando le stablecoin per incassare i pagamenti, e come tale modello di pagamento contribuisca ad alimentare attacchi di phishing su scala industriale.

Fornitori in un modello di phishing-as-a-service

Secondo Microsoft, i soggetti identificati operano come fornitori all'interno di un modello di phishing-as-a-service. Ciò significa che non conducono necessariamente ogni attacco in prima persona. Vendono invece o affittano strumenti di phishing pronti all'uso ad altri criminali che eseguono le campagne effettive. Questa divisione del lavoro, in cui i creatori di strumenti servono criminali clienti invece di attaccare direttamente, è una struttura osservata dai ricercatori anche in altri mercati di servizi criminali, e abbassa le competenze tecniche necessarie per condurre campagne convincenti.

Una caratteristica riportata di questi fornitori è che accettano USDT, la stablecoin ancorata al dollaro statunitense emessa da Tether, come forma di pagamento. Una stablecoin è una criptovaluta progettata per mantenere un valore fisso, in questo caso un dollaro statunitense per token. Tale stabilità di prezzo è rilevante in questo contesto perché elimina il rischio di volatilità legato al possesso di criptovalute più volatili tra il pagamento e la conversione in denaro. Accettare USDT consente ai fornitori di ricevere pagamenti senza toccare conti bancari tradizionali, che possono essere più difficili da tracciare per gli investigatori rispetto ai bonifici convenzionali.

Il risultato di Microsoft riguarda uno specifico mercato criminale e non i pagamenti in criptovalute in generale. L'accettazione di USDT è un attributo riportato di questi specifici fornitori; non significa che le ordinarie transazioni in USDT siano sospette, e Tether stesso è uno strumento finanziario ampiamente utilizzato con applicazioni legittime. Il pattern è tuttavia coerente con le precedenti ricerche sulla sicurezza di Microsoft, incluso un precedente avvertimento su campagne di malware crittografico evolutesi da semplici strumenti di furto in backdoor più sofisticate.

Come gli strumenti si collegano a 75.000 organizzazioni

Microsoft ha riferito che gli strumenti di phishing forniti dai soggetti identificati sono stati utilizzati contro fino a 75.000 organizzazioni. La cifra descrive la potenziale portata delle campagne, ovvero organizzazioni prese di mira o esposte ad attacchi con questi strumenti, non necessariamente organizzazioni completamente compromesse.

La distinzione è importante. Essere presi di mira da una campagna di phishing non significa automaticamente che gli account o i dati di un'organizzazione siano stati accessi. La scala di 75.000 organizzazioni illustra tuttavia quanto ampiamente un modello di fornitura possa diffondere capacità di attacco: un numero ridotto di fornitori può abilitare un numero molto più elevato di campagne condotte da operatori criminaliati che acquistano o affittano gli strumenti.

Sulla base delle informazioni disponibili, Microsoft non ha reso pubbliche dettagli sui settori o sulle aree geografiche a cui appartengono queste 75.000 organizzazioni. Dedurre geografia, ripartizioni per settore o numeri confermati di vittime oltre quanto attribuito da Microsoft andrebbe oltre quanto le prove supportano.

Cosa significa per le organizzazioni e gli utenti di criptovalute

Il risultato sottolinea come i mercati di phishing-as-a-service operino in modo simile alle legittime attività software-as-a-service, con fornitori, clienti e circuiti di pagamento. Le criptovalute, e in particolare le stablecoin, possono comparire come metodo di pagamento in questi mercati illeciti perché le transazioni possono attraversare i confini rapidamente e al di fuori del sistema bancario tradizionale.

Il phishing rimane uno dei modi più comunemente segnalati con cui gli aggressori ottengono un primo accesso nelle organizzazioni, poiché una singola credenziale raccolta può consentire la takeover di account e frodi successive. Per le organizzazioni, la risposta pratica è la stessa indipendentemente da come i fornitori vengono pagati:

• Verificare il mittente prima di cliccare su qualsiasi link in un'email o in un messaggio.
• Controllare che le pagine di accesso utilizzino il dominio corretto.
• Attivare l'autenticazione a più fattori resistente al phishing, che richiede una chiave fisica o una conferma dal dispositivo anziché un codice inviato tramite SMS.
• Segnalare i messaggi sospetti al proprio team IT o di sicurezza invece di ignorarli.

Per gli utenti di USDT o di altre stablecoin, il risultato di Microsoft è un promemoria del fatto che i circuiti di pagamento in criptovalute fanno parte dell'economia criminale moderna, anche se la grande maggioranza dell'attività delle stablecoin è legale. La consapevolezza di come funzionano questi mercati aiuta a spiegare perché ricercatori della sicurezza e forze dell'ordine prestano molta attenzione ai pattern di pagamento on-chain collegati alla cybercriminalità. Ricerche sulla sicurezza di Microsoft hanno già mostrato in precedenza come gli strumenti di furto di criptovalute possano evolversi in minacce persistenti sia per gli individui che per le organizzazioni.

Chiunque riceva una richiesta di accesso inattesa, un messaggio che lo esorta a verificare le credenziali o un'email che gli chiede di cliccare su un link per proteggere il proprio account dovrebbe trattarla con cautela. Questi sono meccanismi di distribuzione comuni per il tipo di campagne di phishing descritte nella ricerca di Microsoft. Successivi avvisi, indicatori pubblicati o azioni di contrasto mirate a reti di fornitori come questa offrirebbero un quadro più chiaro di come l'ecosistema si evolve, ed è per questo che i team di sicurezza e i ricercatori tendono a monitorare i canali di threat intelligence dei fornitori dopo divulgazioni di questo tipo.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre le proprie ricerche prima di prendere decisioni.