L’11 luglio Microsoft ha comunicato che un gruppo con base in Cina, che chiama Storm-0558, ha avuto accesso alla posta di circa 25 organizzazioni, comprese agenzie governative occidentali, e di alcuni account personali collegati. L’attività è iniziata a metà maggio ed è stata scoperta a giugno.
Gli attaccanti non hanno rubato password né aggirato l’autenticazione a due fattori. Hanno ottenuto una chiave di firma di Microsoft destinata agli account consumer, quelli personali, e l’hanno usata per creare token di autenticazione falsi. Per un errore di validazione, Exchange Online accettava quei token anche per gli account aziendali. Con quelli in mano, il gruppo leggeva la posta tramite Outlook sul web e le API come se fosse l’utente legittimo.
Microsoft dice di aver bloccato la chiave, corretto la validazione e di non vedere più attività. Come la chiave sia finita nelle mani del gruppo, però, non l’ha ancora spiegato. Ed è la domanda più importante di tutta la vicenda.
Il log che quasi nessuno aveva
A notare l’anomalia è stata un’agenzia federale statunitense, grazie ai log che registrano ogni accesso ai messaggi di una casella. Il problema è che quei log sono inclusi solo nelle licenze più costose. Molte organizzazioni, anche tra quelle colpite, non avrebbero avuto alcun modo di accorgersene: la capacità di scoprire che qualcuno legge la tua posta era venduta come extra. Le agenzie statunitensi per la cybersicurezza hanno pubblicato un avviso con le indicazioni per cercare tracce dell’attacco.
Con il cloud, la sicurezza delle tue email dipende anche da segreti che non controlli. Sulle chiavi del fornitore puoi fare poco; su quanto in fretta ti accorgi di un accesso anomalo, molto. Verifica quali log di audit di Microsoft 365 sono attivi nel tuo tenant e per quanto tempo vengono conservati. Se la licenza lo consente, attiva la registrazione degli accessi alle caselle e inviala a un sistema esterno. Cerca accessi alla posta da IP o client insoliti, a partire dalle caselle di dirigenti e amministratori.
Poi due riflessioni a più lungo termine. I documenti davvero riservati non dovrebbero viaggiare per email, ma su canali con cifratura dedicata. E il tuo piano di risposta agli incidenti dovrebbe prevedere anche lo scenario in cui a essere compromesso è il fornitore cloud.
