Security

Attacchi payroll Storm-2755 contro dipendenti canadesi

3 min di lettura

Riepilogo

Microsoft ha illustrato una campagna Storm-2755 a scopo finanziario che prende di mira i dipendenti canadesi con attacchi di deviazione del payroll. L’attore della minaccia ha usato SEO poisoning, malvertising e tecniche adversary-in-the-middle per rubare sessioni, aggirare l’MFA legacy e modificare i dettagli del deposito diretto, rendendo l’MFA resistente al phishing e il monitoraggio delle sessioni difese essenziali.

Hai bisogno di aiuto con Security?Parla con un esperto

Gli attacchi payroll di Storm-2755 colpiscono i dipendenti canadesi

Introduzione

Microsoft Incident Response ha pubblicato nuove analisi su Storm-2755, un attore della minaccia che conduce i cosiddetti attacchi payroll pirate contro utenti canadesi. Per i team IT e di sicurezza, questa campagna è rilevante perché combina SEO poisoning, malvertising e phishing adversary-in-the-middle (AiTM) per dirottare sessioni autenticate e reindirizzare i pagamenti salariali dei dipendenti.

La questione va oltre il Canada: queste tecniche possono essere riutilizzate contro qualsiasi organizzazione che si affida a Microsoft 365 e a piattaforme HR o payroll online.

Cosa c’è di nuovo

Microsoft afferma che Storm-2755 ha utilizzato una catena di attacco distinta, focalizzata su un ampio targeting geografico di utenti canadesi, anziché su un singolo settore.

Tecniche chiave osservate

  • SEO poisoning e malvertising hanno indirizzato le vittime verso domini controllati dagli attaccanti tramite ricerche come “Office 365” e varianti con errori di digitazione simili.
  • Le vittime venivano indirizzate a una falsa pagina di accesso Microsoft 365 progettata per rubare credenziali e token di sessione.
  • L’attore ha usato tecniche AiTM per acquisire cookie di sessione e token OAuth, riuscendo così ad aggirare MFA non resistente al phishing.
  • Microsoft ha osservato attività sospette con user-agent Axios 1.7.9 e ha collegato il flusso ad abusi noti legati ad Axios, incluse preoccupazioni su CVE-2025-27152.
  • Dopo aver ottenuto l’accesso, Storm-2755 ha cercato risorse relative a payroll e HR, quindi ha impersonato dipendenti con email come “Question about direct deposit.”
  • In alcuni casi, l’attore ha anche creato regole della posta in arrivo per nascondere messaggi contenenti termini come “direct deposit” o “bank.”

Impatto su amministratori e organizzazioni

Il rischio più immediato è la perdita finanziaria diretta. Una volta compromesso un account, l’attaccante può usare sessioni legittime per confondersi con la normale attività aziendale, rendendo il rilevamento più difficile.

Gli amministratori devono anche considerare che l’MFA tradizionale non è sempre sufficiente contro il furto di token. Poiché gli attacchi AiTM riproducono sessioni già autenticate, le organizzazioni che si affidano a metodi MFA legacy possono comunque restare esposte.

Cosa dovrebbero fare ora i team IT

Microsoft raccomanda di dare priorità alle mitigazioni che riducono il replay dei token e il successo del phishing.

Azioni consigliate

  • Distribuire MFA resistente al phishing, come FIDO2/WebAuthn.
  • Esaminare i log di accesso per errore 50199, insolita continuità di sessione e attività con user-agent Axios.
  • Monitorare accessi non interattivi ripetuti ad app come OfficeHome, Outlook, My Sign-Ins e My Profile.
  • Verificare le regole della posta in arrivo per parole chiave legate a banking o direct deposit.
  • Analizzare accessi sospetti a piattaforme HR e payroll come Workday.
  • Revocare i token di sessione attivi e reimpostare le credenziali per gli account sospettati di compromissione.
  • Informare gli utenti sul phishing nei risultati di ricerca e sulle false pagine di accesso Microsoft 365.

In sintesi

Storm-2755 mostra come le moderne campagne di phishing si stiano evolvendo dal semplice furto di credenziali al dirottamento di sessione con impatto finanziario reale. Le organizzazioni che usano Microsoft 365 dovrebbero rivedere l’autenticazione resistente al phishing, rafforzare il monitoraggio di comportamenti di accesso anomali e coordinare i team di sicurezza e HR sui processi di verifica delle modifiche al payroll.

Hai bisogno di aiuto con Security?

I nostri esperti possono aiutarti a implementare e ottimizzare le tue soluzioni Microsoft.

Parla con un esperto

Resta aggiornato sulle tecnologie Microsoft

Leggi l'articolo originale di Microsoft Incident Response
Storm-2755AiTM phishingMicrosoft 365payroll fraudMFA

Articoli correlati

Security

Vulnerabilità Android di EngageSDK: milioni a rischio

Microsoft ha divulgato una grave falla di intent redirection nel componente di terze parti EngageSDK per Android, esponendo potenzialmente milioni di utenti di wallet crypto al rischio di esposizione dei dati ed escalation dei privilegi. Il problema è stato corretto in EngageSDK versione 5.2.1 e il caso evidenzia il crescente rischio per la sicurezza legato a dipendenze opache nella supply chain delle app mobili.

Security

DNS hijacking su router SOHO: l’avviso di Microsoft

Microsoft Threat Intelligence afferma che Forest Blizzard ha compromesso router domestici e di piccoli uffici vulnerabili per dirottare il traffico DNS e, in alcuni casi, abilitare attacchi adversary-in-the-middle contro connessioni mirate. La campagna è rilevante per i team IT perché i dispositivi SOHO non gestiti usati da lavoratori remoti e ibridi possono esporre l’accesso al cloud e dati sensibili anche quando gli ambienti aziendali restano protetti.

Security

Storm-1175 e Medusa ransomware: asset web nel mirino

Microsoft Threat Intelligence avverte che Storm-1175 sta sfruttando rapidamente sistemi esposti su Internet e vulnerabili per distribuire Medusa ransomware, talvolta entro 24 ore dall’accesso iniziale. L’attenzione del gruppo per falle appena divulgate, web shell, strumenti RMM e rapidi movimenti laterali rende fondamentali per i difensori la velocità di patching, l’exposure management e il rilevamento post-compromissione.

Security

Phishing device code AI: campagna in escalation

Microsoft Defender Security Research ha descritto una campagna di phishing su larga scala che abusa del flusso OAuth device code usando esche generate con AI, generazione dinamica dei codici e infrastruttura backend automatizzata. La campagna aumenta il rischio per le organizzazioni perché migliora i tassi di successo degli attaccanti, aggira i modelli di rilevamento tradizionali e consente il furto di token, la persistenza tramite regole della posta in arrivo e la ricognizione con Microsoft Graph.

Security

Cyberattacchi AI: minacce accelerate nella catena

Microsoft avverte che gli attori delle minacce stanno ora integrando l’AI nell’intero ciclo di vita del cyberattacco, dalla ricognizione e dal phishing fino allo sviluppo di malware e alle operazioni post-compromissione. Per i difensori, questo significa attacchi più rapidi e precisi, tassi di successo del phishing più elevati e una crescente necessità di rafforzare identità, protezioni MFA e visibilità sulle superfici di attacco guidate dall’AI.

Security

Webshell PHP con cookie su Linux: elusione

Microsoft avverte che gli attori delle minacce stanno usando cookie HTTP per controllare webshell PHP negli ambienti di hosting Linux, aiutando il codice malevolo a restare inattivo finché non sono presenti specifici valori dei cookie. La tecnica riduce la visibilità nei log di routine, supporta la persistenza tramite cron job e sottolinea la necessità di un monitoraggio più efficace, protezione web e rilevamento endpoint sui carichi di lavoro Linux ospitati.