All’inizio di agosto Twilio, uno dei più grandi fornitori al mondo di servizi SMS e voce per le aziende, ha comunicato che alcuni dipendenti erano caduti in una campagna di phishing via SMS. Il 25 agosto un’analisi di Group-IB ha mostrato che Twilio era solo uno dei bersagli: la stessa campagna, chiamata 0ktapus, ha colpito oltre 130 organizzazioni da marzo a oggi.
Lo schema è semplice. Il dipendente riceve un SMS che sembra arrivare dall’IT: la password è scaduta, il turno è cambiato, serve un’azione urgente. Il link porta a una copia perfetta del portale di accesso aziendale, spesso quello di Okta, su un dominio che contiene il nome dell’azienda. La pagina chiede nome utente, password e codice MFA, e li inoltra in tempo reale su Telegram a chi li usa subito. Il bilancio: 9.931 credenziali rubate, 5.441 delle quali insieme al codice MFA, almeno 169 domini di phishing, vittime soprattutto negli Stati Uniti.
Da Twilio a Signal
Attraverso Twilio gli attaccanti sono arrivati ai suoi clienti. Signal, che usa Twilio per inviare i codici di verifica, ha comunicato che i numeri di circa 1.900 utenti sono stati esposti e che per alcuni si è tentato di registrare l’account su un nuovo dispositivo.
L’unica difesa che ha retto
Anche alcuni dipendenti di Cloudflare hanno inserito le credenziali nella pagina falsa, eppure gli attaccanti non sono entrati. L’azienda usa chiavi di sicurezza fisiche FIDO2, che verificano il dominio del sito e su una pagina contraffatta semplicemente non rispondono. Un codice via SMS o via app, invece, si ruba come una password: lo digiti tu, nel posto sbagliato.
La contromisura che conta è l’autenticazione resistente al phishing, con chiavi FIDO2 o passkey, cominciando da amministratori, sviluppatori e personale di supporto. Intorno servono regole chiare, come il fatto che l’IT non chieda mai di accedere da un link ricevuto per SMS, e il monitoraggio dei domini registrati con nomi simili al tuo, da bloccare su filtri web e DNS. Limita ciò che i sistemi interni mostrano agli account di supporto e registra ogni consultazione. Se offri un servizio basato su codici SMS, chiediti cosa succede se viene violato il fornitore che li spedisce.
