Okta sotto attacco: i pirati informatici abbandonano il phishing per il vishing

I criminali informatici stanno cambiando tattica: invece di email truffaldine, colpiscono direttamente i sistemi di identità come Okta con chiamate vocali ingannevoli, note come “vishing Okta”. Questa tecnica trasforma un semplice accesso non autorizzato in una breccia cloud su scala aziendale, sfruttando il Single Sign-On (SSO). Soluzione rapida: addestra il personale a verificare ogni chiamata sospetta e adotta autenticazioni resistenti al phishing come chiavi FIDO2.

In un mondo sempre più digitalizzato, la sicurezza delle identità digitali è cruciale. I provider come Okta gestiscono l’accesso a decine di applicazioni aziendali, rendendoli un bersaglio ideale. Con il vishing, gli attaccanti evitano link email e convincono le vittime a cedere il controllo durante una conversazione telefonica. Questo articolo esplora il fenomeno, le sue cause e le strategie di difesa.

Perché il vishing su Okta sta crescendo

Gli hacker hanno compreso un punto debole fondamentale: l’autenticazione multifattore (MFA) fallisce spesso per errore umano, non tecnico. Invece di aggirare protezioni avanzate, persuadono dipendenti o help desk a disattivarle, fingendosi colleghi in difficoltà.

Il lavoro remoto ha amplificato il problema. Le chiamate di supporto sono frequenti, e gli indicatori di performance premiano la velocità. Gli attaccanti raccolgono dati da LinkedIn, siti aziendali e fughe di notizie per creare pretesti credibili: nomi di executive, organigrammi, numeri di telefono.

Con Okta come piano di controllo centrale per l’accesso SaaS, un compromesso qui apre le porte a tutto l’ecosistema cloud. Piattaforme come Microsoft 365, SharePoint, OneDrive, Google Workspace, Salesforce, Slack e sistemi HR diventano accessibili senza bisogno di exploit individuali.

La catena di attacco del vishing Okta

L’attacco segue una sequenza precisa e studiata:

Riconoscimento: Raccolta di nomi, ruoli, contatti help desk e pattern tenant Okta da fonti aperte e breach precedenti.
Contatto iniziale: Chiamata fingendosi dipendente bloccato, executive in viaggio, contractor o utente con telefono rotto. Urgenza per superare verifiche.
Manipolazione MFA: Pressione per resettare fattori, iscrivere nuovi dispositivi o numeri controllati dagli hacker, condividere codici OTP o approvare prompt push.
Pivoting SSO: Una volta dentro Okta, accesso immediato ad app collegate. Esfiltrazione massiva: download da SharePoint/OneDrive, esportazione email, creazione token API, regole di inoltro.

Questa catena trasforma un evento isolato in una fuga di dati cloud su larga scala, con conseguenze devastanti per la privacy e la compliance.

Segnali di allarme per il rilevamento

Le squadre di risposta agli incidenti (DFIR) devono monitorare indicatori specifici:

Sul lato identità: Reset MFA ingiustificati, iscrizioni nuovi dispositivi, cambi metodi MFA seguiti da login anomali, accessi da ASN sconosciuti, ticket help desk prima di attività sospette.
Su SaaS come Microsoft 365: Volumi download anormali su SharePoint/OneDrive, login da IP nuovi su più app, consensi OAuth improvvisi, accessi multi-app rapidi post-cambi MFA.

Correlare questi segnali tramite SIEM è essenziale per un intervento tempestivo.

Strategie di difesa efficaci

Proteggersi dal vishing richiede un approccio olistico, oltre la sicurezza email:

Enforce verifiche rigorose per reset MFA e password, con controlli step-up per cambiamenti ad alto rischio.
Addestra help desk su pretesti vishing comuni.
Adotta MFA resistente al phishing come chiavi FIDO2 o passkey.
Disabilita autenticazioni legacy, limita consensi OAuth, rivedi regolarmente fattori MFA.
Ingesti log IdP in SIEM per correlare eventi identità con telemetria SaaS, VPN ed endpoint.
Sviluppa playbooks SOC/MDR specifici per attacchi identità: revoca sessioni, reset credenziali, rimozione MFA rogue.

Queste misure riducono drasticamente la superficie di attacco, rendendo Okta e simili più resilienti.

Approfondimento tecnico: Implementa policy conditional access in Okta per bloccare accessi da location rischiose. Usa machine learning per anomaly detection su pattern login. Integra con EDR per tracciare pivoting post-compromesso.

Impatto sul panorama della cybersecurity

Il vishing Okta evidenzia una tendenza: le minacce evolvono verso l’ingegneria sociale avanzata. Con l’adozione massiccia di cloud e SSO, i provider di identità sono il nuovo collo di bottiglia critico. Aziende devono passare da reattività a proattività, investendo in awareness e tool automatizzati.

Statistiche recenti mostrano un aumento del 300% negli attacchi vishing su IdP. Ignorare questo trend espone a rischi multimilionari in multe GDPR e perdite reputazionali.

Conclusione pratica per le imprese

Inizia oggi: audita i tuoi workflow identità, simula attacchi vishing e misura la resilienza. La chiave è la preparazione umana e tecnologica combinata.

Approfondimento tecnico per esperti

Catena di attacco dettagliata con esempi:

Recon: Usa tool OSINT come theHarvester per email/telefoni. Identifica tenant Okta da subdomini (es. company.okta.com).
Initial Access: Script call con voice AI per scalabilità. Pretext: “Il mio YubiKey è rotto in viaggio, resetta MFA urgentemente”.
MFA Bypass:
- Reset authenticator app → enroll SMS controllato.
- Push bombing + social pressure per approvazione.
- Condivisione session token via screen share.
Lateral Movement: Enumera app SSO. Priorità: M365 (Export-Mailbox), Salesforce (Data Loader), Slack (Export).
Persistence: Registra OAuth app con scope all, crea backdoor rules.
Exfil: Restic o AzCopy per dump massivi, obfuscati via TOR.

Detection Rules (SIEM):

rule Okta_Vishing_Suspicious_MFA_Reset {
  meta: { description: "Reset MFA + anomalous login" }
  events:
    - filter: { event_type: mfa_reset }
    - filter: { event_type: login, within: 5m, asn != known_asns }
  risk_score: 80
}

Mitigazioni avanzate:

Okta Advanced Server Access: Just-in-time provisioning.
Phishing-Resistant MFA: FIDO2 con hardware keys, enforced policy.
Session Controls: Max lifetime 8h, geo-fencing.
UEBA: User Entity Behavior Analytics per baseline deviazioni.
Incident Response: Automatizza con Okta Workflows: detect → revoke_all_sessions → force_reset_all_users.

Metriche di efficacia: Riduzione tempo rilevamento <1h, MFA fatigue false positive <5%. Testa con red teaming annuale.

Evoluzione future: Con passkey dominance, shift verso device compromise (es. EvilProxy). Monitora CISA alerts su IdP.

Questo approfondimento fornisce tool e tattiche per tecnici, elevando la difesa oltre il base level.

Fonte: https://gbhackers.com/okta-under-attack/