PREY-0058 usa telefonate all’help desk e proxy residenziali per eludere la MFA di Microsoft 365

Un gruppo di minacce monitorato come PREY-0058 sta compromettendo account cloud aziendali spacciandosi telefonicamente per personale IT interno. Anziché distribuire malware o sfruttare una vulnerabilità software, gli attaccanti convincono i dipendenti ad autenticarsi tramite portali di phishing progettati per intercettare le comunicazioni in tempo reale.

Secondo un rapporto pubblicato da Artic Wolf l’8 settembre 2026, la campagna prende spesso di mira direttori, vicepresidenti e altri dirigenti. Una volta ottenuto l’accesso, gli operatori cercano informazioni in Microsoft 365 e nelle piattaforme software-as-a-service collegate, raccolgono dati aziendali e possono avanzare richieste estorsive.

La campagna combina voice phishing, infrastrutture adversary-in-the-middle, token di sessione rubati e proxy residenziali scelti per imitare la posizione abituale della vittima. Questa combinazione può indebolire i sistemi di rilevamento basati principalmente sulla geolocalizzazione o sull’impossible travel.

Una telefonata avvia la compromissione

Gli operatori di PREY-0058 si spacciano per il reparto IT o l’help desk dell’organizzazione. La vittima viene quindi indirizzata a una pagina di phishing a tema autenticazione, spesso ospitata su un indirizzo che segue questo schema:

<organizzazione della vittima>.<dominio-esca>

Inserire il nome dell’obiettivo nell’hostname fa sembrare la pagina collegata al datore di lavoro, soprattutto quando viene consultata rapidamente durante una telefonata. La chiamata crea inoltre un senso di urgenza e offre all’attaccante l’opportunità di guidare la vittima attraverso ogni fase dell’autenticazione.

Il portale fraudolento supporta un attacco adversary-in-the-middle, o AiTM. Anziché limitarsi a raccogliere una password statica, l’infrastruttura di phishing inoltra l’attività di autenticazione tra la vittima e il servizio Microsoft legittimo.

In questo modo gli operatori possono intercettare le credenziali e le approvazioni MFA mentre vengono inviate. Ma soprattutto, possono ottenere il token di sessione autenticato di Microsoft 365 creato al termine della procedura di accesso.

Il token rubato viene quindi riutilizzato per accedere all’account. Poiché la sessione ha già superato l’autenticazione, l’attaccante potrebbe non dover richiedere nuovamente la MFA finché il token non scade, viene revocato o incontra un’ulteriore decisione di controllo degli accessi.

Non è necessario sfruttare una vulnerabilità dell’endpoint. Per questo, i tradizionali strumenti antivirus e di rilevamento sugli endpoint potrebbero non rilevare quasi nulla durante la compromissione iniziale.

I proxy residenziali fanno sembrare locali le sessioni dannose

PREY-0058 utilizza un’infrastruttura di proxy residenziali, in particolare NodeMaven, per inoltrare l’accesso agli account compromessi. Gli operatori selezionano indirizzi proxy corrispondenti all’area geografica della vittima e, in alcuni casi, alla stessa rete o allo stesso numero di sistema autonomo.

La tecnica serve a far sembrare legittima la sessione rubata. Un utente che normalmente accede da una città potrebbe risultare ancora in quella stessa città, anche se un attaccante sta controllando la sessione da un’altra località.

Inoltre, limita l’efficacia degli avvisi di impossible travel. Questi controlli funzionano quando un account risulta connesso da località distanti in un intervallo di tempo irrealistico, ma sono meno affidabili quando entrambe le sessioni provengono da indirizzi vicini.

La posizione geografica va quindi considerata un segnale, non una prova di legittimità. I difensori dovrebbero confrontare la geografia apparente con altre caratteristiche, tra cui:

• Provider di servizi Internet e ASN
• Attribuzione a un proxy residenziale o a un provider di hosting
• Profilo del browser e del sistema operativo
• Stringhe user-agent
• Stato di gestione e conformità del dispositivo
• Applicazioni aperte all’inizio della sessione
• Attività su file, posta elettronica e directory dopo l’autenticazione

Una sessione che appare normale dal punto di vista geografico può comunque essere ostile se il provider di rete, lo stato del dispositivo o il comportamento differiscono dal modello abituale dell’account.

Gli attaccanti mappano le applicazioni prima di raccogliere i dati

Dopo aver riutilizzato un token rubato, gli operatori accedono di frequente a interfacce degli account Microsoft come OfficeHome, My Signins, My Profile, My Apps e Microsoft Account Controls.

Questi servizi espongono informazioni utili sull’account della vittima e sulle applicazioni disponibili. L’accesso iniziale a diverse di queste interfacce può indicare che l’intruso sta determinando a quali risorse può arrivare l’account prima di avviare una ricognizione più ampia.

PREY-0058 analizza quindi Microsoft Entra ID e SharePoint. L’attività di discovery su SharePoint può generare eventi di audit SearchQueryPerformed contenenti espressioni di ricerca come:

contentclass:STS_Site
contentclass:STS_Web

Gli attaccanti possono inoltre usare ricerche con caratteri jolly e indexdocid per scorrere i risultati a pagine. Questa attività consente di enumerare sistematicamente siti SharePoint, risorse web, repository documentali e file potenzialmente importanti.

La raccolta dei dati può successivamente estendersi a:

• SharePoint
• OneDrive
• Exchange
• Box

Gli operatori possono automatizzare l’accesso usando la libreria requests di Python o la Microsoft Graph API, recuperando i file più rapidamente rispetto a un attaccante che opera manualmente tramite browser. Una raccolta su larga scala può esporre documenti aziendali, messaggi di posta elettronica e dati archiviati nelle piattaforme SaaS collegate.

Al furto può seguire un’estorsione. Il rischio principale non è quindi il controllo del computer di un dipendente, ma l’uso non autorizzato di un’identità cloud affidabile per raggiungere informazioni alle quali il dipendente è già autorizzato ad accedere.

Il rilevamento richiede telemetria cloud e delle identità

I difensori dovrebbero innanzitutto esaminare gli accessi associati a NodeMaven, ad altri servizi di proxy residenziali e ai provider di hosting. Tuttavia, bloccare una singola rete identificata non fermerà operatori che ruotano l’infrastruttura.

La sequenza delle attività è spesso più indicativa di un singolo indirizzo IP. Una sessione anomala può iniziare con interfacce di gestione dell’account, passare alla discovery di SharePoint o Entra ID e concludersi con un accesso esteso a file o caselle di posta.

I pattern di rilevamento prioritari includono:

1. Accesso imprevisto a OfficeHome, My Signins, My Profile, My Apps o Microsoft Account Controls subito dopo il login.
2. Differenze rispetto al normale ISP, ASN, browser, sistema operativo, dispositivo o user agent dell’utente.
3. Eventi SearchQueryPerformed che enumerano siti, web o file SharePoint.
4. Raffiche di eventi MailItemsAccessed di Exchange in un breve intervallo.
5. Volumi elevati di visualizzazioni e download di file SharePoint o OneDrive da parte di un singolo account.
6. Recupero di file tramite richieste HTTP basate su Python o Microsoft Graph.
7. Attività cloud provenienti da indirizzi di proxy residenziali e di hosting, anche quando la posizione appare normale.
8. Domini appena registrati o osservati per la prima volta che imitano l’organizzazione e richiedono la registrazione di MFA, passkey o autenticazione.

I team di sicurezza dovrebbero correlare questi segnali anziché valutarli separatamente. Per esempio, un IP residenziale locale potrebbe non apparire pericoloso di per sé, ma diventa significativo se associato a un dispositivo non gestito, a un nuovo user agent, all’enumerazione di SharePoint e a un improvviso picco di download.

Artic Wolf ha inoltre pubblicato gli indicatori di compromissione associati a PREY-0058. I valori specifici di domini e IP non sono inclusi nei dettagli della campagna disponibili; i difensori dovrebbero quindi mantenere anche rilevamenti comportamentali efficaci quando l’infrastruttura cambia.

I dispositivi gestiti e le credenziali resistenti riducono l’esposizione

Le organizzazioni dovrebbero richiedere, ove operativamente possibile, che l’accesso a Microsoft 365 avvenga da dispositivi gestiti e conformi. Un token rubato utilizzato da un dispositivo sconosciuto dovrebbe essere sottoposto a ulteriori controlli di accesso, anziché essere accettato solo perché la password e la procedura MFA sono state completate in precedenza.

Le connessioni provenienti da proxy residenziali e provider di hosting possono essere bloccate, limitate o sottoposte a verifiche più rigorose. Potrebbero essere necessarie eccezioni per gli utenti legittimi, ma tali eccezioni non dovrebbero eliminare i controlli sul dispositivo e sul comportamento.

Continuous Access Evaluation di Microsoft può aiutare a rivalutare le sessioni attive quando cambiano condizioni di sicurezza rilevanti. Gli amministratori dovrebbero inoltre essere pronti a revocare rapidamente le sessioni quando si sospetta il furto di un token.

Per l’autenticazione, le organizzazioni dovrebbero privilegiare metodi resistenti al phishing come le chiavi di sicurezza FIDO2 e le passkey vincolate al dispositivo. Questi controlli offrono una protezione più efficace contro il phishing AiTM rispetto alle richieste di approvazione o alle credenziali che gli utenti possono inoltrare attraverso un sito ingannevole.

Tra le misure aggiuntive rientrano la limitazione dell’accesso ai repository SharePoint sensibili, la verifica dell’eventuale presenza di autorizzazioni più ampie del necessario per i dirigenti e il monitoraggio degli accessi su larga scala a Microsoft 365 e Box.

Anche i dipendenti e il personale dell’help desk hanno bisogno di una procedura definita per gestire telefonate di assistenza inattese. L’utente dovrebbe interrompere la chiamata e contattare autonomamente l’IT tramite un numero interno già noto o un canale di supporto autenticato. Non bisogna fidarsi dei recapiti forniti dall’interlocutore.

Si tratta di un attacco all’identità, non di una vulnerabilità correggibile con una patch

Alla campagna segnalata non sono associati CVE, versioni vulnerabili di software o patch del produttore. Microsoft 365, Entra ID, SharePoint, OneDrive, Exchange e Box sono coinvolti in quanto servizi presi di mira, ma non sono state rese note versioni specifiche interessate.

Il catalogo CISA delle vulnerabilità note sfruttate non è quindi pertinente: PREY-0058 sfrutta persone, flussi di autenticazione e sessioni rubate, non una vulnerabilità software documentata.

Questa distinzione cambia la risposta difensiva. Applicare patch solo agli endpoint non fermerà la campagna. Le organizzazioni devono rafforzare i criteri di accesso al cloud, implementare un’autenticazione resistente al phishing, ridurre le autorizzazioni eccessive sui dati e analizzare le sessioni delle identità anche quando la loro posizione apparente sembra familiare.