Nuvole di inganno: i phisher dirottano gli account TikTok Business con i trucchi di Turnstile

È iniziato come una semplice email nella casella di posta: una promettente opportunità di business, un link per fissare una call, forse la possibilità di far crescere il proprio brand con TikTok for Business. Ma dietro la patina di professionalità si nascondeva una nuova specie di attacco informatico, pronta a colpire. In un inquietante promemoria dell’evoluzione del panorama delle minacce, i ricercatori di sicurezza hanno scoperto una campagna in cui siti di phishing con tecnica adversary-in-the-middle (AitM) sfruttano Turnstile di Cloudflare per eludere il rilevamento e sottrarre le credenziali degli account business di TikTok. I bersagli? Social media manager e aziende, i cui account sono maturi per essere dirottati e trasformati in armi.

L’anatomia dell’attacco

L’operazione, descritta da Push Security, è una lezione magistrale di inganno. Tutto comincia con un’email o un messaggio che sembra provenire da TikTok for Business o da Google Careers. Le vittime vengono invitate a cliccare un link - spesso camuffato da strumento di pianificazione o portale di recruiting. Questo link conduce a un dominio dall’aspetto legittimo, come welcome.careerscrews[.]com o welcome.careerstaffer[.]com, ma che in realtà è controllato dagli attaccanti.

Prima che compaia la pagina di phishing, gli utenti devono superare un controllo Cloudflare Turnstile - una funzionalità di sicurezza legittima che, in questo contesto, viene trasformata in un’arma per tenere fuori i crawler di sicurezza automatizzati e gli analisti di minacce. Superato questo checkpoint, la vittima ignara approda su un’imitazione perfetta, al pixel, della pagina di login di TikTok for Business. Qui le credenziali vengono raccolte in tempo reale, intercettate da una configurazione adversary-in-the-middle in grado persino di aggirare i meccanismi di autenticazione a più fattori.

Perché TikTok for Business?

Gli account business sulle piattaforme social sono miniere d’oro per i criminali informatici. Una volta compromessi, possono essere usati per spingere link malevoli, diffondere malware o condurre truffe su larga scala sotto le sembianze di brand affidabili. TikTok, in particolare, ha una storia di abusi per la distribuzione di infostealer come Vidar, StealC e Aura Stealer - spesso con l’aiuto di tutorial video generati dall’IA che inducono gli utenti a infettarsi da soli.

Tendenze più ampie: malware SVG e oltre

Questa campagna non opera in isolamento. WatchGuard ha recentemente segnalato tattiche di phishing simili in Venezuela, dove allegati di file SVG malevoli, camuffati da fatture o ricevute, consegnano malware collegato al famigerato ransomware BianLian. Questi SVG sfruttano accorciatori di URL e vulnerabilità di reindirizzamento per superare le difese, dimostrando che gli attaccanti innovano costantemente sia nelle modalità di consegna sia nelle tecniche di evasione.

Conclusione

Man mano che le campagne di phishing diventano più sofisticate - sfruttando sia trucchi tecnici come l’elusione tramite Turnstile sia stratagemmi psicologici - le organizzazioni devono restare vigili. La prima linea del cybercrimine non riguarda più soltanto firewall e filtri, ma formazione, consapevolezza e capacità di riconoscere il lupo travestito da agnello. Nell’era dell’adversary-in-the-middle, la fiducia è la prima vittima.

WIKICROOK

• Avversario: Un avversario è qualsiasi persona o gruppo che tenta di violare sistemi informatici o dati, spesso per scopi malevoli come furto o sabotaggio.
• Cloudflare Turnstile: Cloudflare Turnstile è un sistema simile a un CAPTCHA che verifica che i visitatori di un sito siano persone reali, aiutando a bloccare i bot e ridurre lo spam senza attriti per l’utente.
• Malvertising: Il malvertising è l’uso di annunci online per diffondere malware, spesso ingannando gli utenti a cliccare link dannosi - anche su siti considerati affidabili.
• Infostealer: Un infostealer è un malware progettato per rubare dati sensibili - come password, carte di credito o documenti - da computer infetti senza che l’utente se ne accorga.
• File SVG: Un file SVG è un formato immagine basato su testo che può essere scalato senza perdita di qualità e può nascondere codice malevolo se non gestito in modo sicuro.