Una sofisticata campagna di cybercrime ha preso di mira i dipendenti di diverse grandi società americane di private equity, tra cui Blackstone, Apollo Global Management e KKR, utilizzando telefonate ingannevoli progettate per rubare le credenziali dei dipendenti e aggirare l'autenticazione a più fattori.

Secondo Google, gli attaccanti hanno fatto affidamento sull'ingegneria sociale anziché su malware avanzato. Si sono spacciati per personale del supporto IT interno, chiamando frequentemente i dipendenti sui loro telefoni cellulari personali falsificando numeri di telefono aziendali legittimi. I chiamanti sostenevano che ci fosse un'esigenza urgente di aggiornare le impostazioni di sicurezza, le passkey o l'autenticazione a più fattori.

Come funzionava l'attacco

La campagna ha combinato telefonate convincenti con siti web di phishing specifici per ogni azienda che riproducevano fedelmente i portali di supporto IT legittimi. Alle vittime veniva richiesto di effettuare il login o di inserire codici di autenticazione monouso, consentendo agli attaccanti di catturare password e credenziali di sessione in tempo reale. Questo approccio — talvolta chiamato vishing ibrido — riflette una tendenza più ampia in cui gli attaccanti, di fronte alla diffusione dell'autenticazione a più fattori, prendono sempre più di mira il fattore umano anziché tentare di superare direttamente i controlli tecnici.

Google ha riferito che gli hacker hanno creato infrastrutture di phishing personalizzate per oltre 200 organizzazioni nel giro di cinque settimane. Oltre a Blackstone, Apollo e KKR, altri obiettivi identificati includevano Bain Capital, TPG, CME Group, Moody's, Clearlake Capital, Bridgewater Associates e diverse società legali e aziende.

Crescente attenzione alle società finanziarie

I ricercatori di cybersecurity ritengono che gli attaccanti abbiano progressivamente indirizzato i propri sforzi verso società di private equity, istituzioni finanziarie e aziende di servizi professionali, attratti dalle informazioni finanziarie altamente sensibili e dagli accessi privilegiati di cui queste organizzazioni dispongono. Le società di private equity in particolare gestiscono dati riservati sulle transazioni, informazioni sui limited partner e strategie delle società di portafoglio — materiale che potrebbe risultare prezioso per insider trading, estorsioni o spionaggio competitivo se rubato.

Google ha identificato gli attaccanti con diversi alias, tra cui Redact, Pink, Falcon e Helix. Sebbene alcune organizzazioni abbiano presumibilmente pagato riscatti, non è chiaro quali aziende, se mai ce ne sono state, siano state effettivamente compromesse. Le società prese di mira hanno in gran parte declinato di rilasciare commenti pubblici.

La campagna evidenzia che gli attacchi incentrati sul fattore umano rimangono tra le tecniche più efficaci a disposizione dei criminali informatici. Anziché sfruttare vulnerabilità software, gli attaccanti hanno manipolato i dipendenti inducendoli a consegnare volontariamente le proprie credenziali — sottolineando l'importanza di verificare le richieste IT impreviste attraverso i canali interni ufficiali e di non condividere mai password o codici di autenticazione per telefono.