Al momento Microsoft, nonostante la portata della vulnerabilità, non sembra aver ancora risolto il problema.

Da mesi diversi hacker criminali stanno sfruttando una vulnerabilità nei sistemi Microsoft che consente di inviare e-mail spam. I truffatori stanno usando un indirizzo interno dell’azienda normalmente impiegato per notifiche legittime agli utenti.

Diversi esperti di sicurezza informatica stanno cercando di analizzare il problema. “Non è infatti ancora chiaro“, sottolinea TechCrunch, “in che modo i cybercriminali riescano ad abusare del sistema“.

Tuttavia, secondo diverse segnalazioni, “i truffatori sarebbero in grado di creare nuovi account Microsoft fingendosi clienti regolari“. In secondo luogo, “userebbero poi quell’accesso per spedire e-mail apparentemente provenienti direttamente dal colosso tecnologico“. Si tratta di una tecnica illecita che aumenta sensibilmente il rischio che gli utenti considerino autentici i messaggi ricevuti.

“Prestare la massima attenzione all’indirizzo e-mail“

La scorsa settimana diversi utenti hanno ricevuto e-mail strutturate in modo simile, contenenti “oggetti ingannevoli e link a siti fraudolenti, recapitate su differenti account di posta elettronica“.

I messaggi risultavano inviati da “msonlineservicesteam@microsoftonline.com”. Tale indirizzo è quello normalmente utilizzato da Microsoft per comunicazioni importanti “come codici di autenticazione a due fattori e notifiche critiche relative agli account online“.

Alcune e-mail imitavano gli avvisi ufficiali relativi a presunte transazioni sospette. Altre, sostenevano che il destinatario avesse ricevuto un messaggio privato accessibile tramite un link presente nel corpo della mail.

Anche l’organizzazione anti-spam The Spamhaus Project ha confermato il fenomeno. In un post pubblicato martedì, il gruppo ha dichiarato di aver osservato l’abuso dell’indirizzo Microsoft per campagne spam attive “da diversi mesi”. Dalla Big Tech con sede a Redmond non sono arrivati commenti.

Una tendenza sempre più diffusa

La tendenza di sfruttare finte e-mail per scopi malevoli è sempre più diffusa. All’inizio dell’anno, ad esempio, alcuni hacker criminali avevano compromesso una piattaforma utilizzata dalla fintech Betterment per inviare false notifiche. Notifiche, che promettevano di triplicare il valore delle criptovalute inviate dagli utenti, una truffa molto nota nel panorama crypto.

Già nel 2023, inoltre, cybercriminali avevano sfruttato un profilo email della società Namecheap per distribuire campagne di phishing finalizzate al furto di credenziali.

Dallo studio del problema è emerso che anche e-mail di altre aziende sarebbero impiegate per campagne spam simili. Un’evidenza che tale problema potrebbe non riguardare esclusivamente Microsoft ma rappresentare una vulnerabilità più ampia nei sistemi di notifica automatizzati.

Vai al sito di Cybersecurity Italia.

L'articolo Microsoft, hacker criminali sfruttano un bug per inviare e-mail fraudolente. I rischi per gli utenti sembra essere il primo su CyberSecurity Italia.