Phishing Informativo: Phishing for Information (T1598)
La tecnica T1598 - Phishing for Information rappresenta una delle forme più insidiose di social engineering elettronico. A differenza del phishing tradizionale, l'obiettivo non è recapitare payload o eseguire codice malevolo, bensì estrarre informazioni sensibili dalla vittima: credenziali, codici OTP, contatti aziendali, dettagli infrastrutturali o dati utili a preparare fasi successive dell'attacco.
Inquadrata nella tattica TA0043 (Reconnaissance), questa tecnica costituisce spesso il primo contatto attivo tra attaccante e organizzazione bersaglio. Si colloca nella fase iniziale della kill chain, precedendo Initial Access e fornendo il materiale grezzo (indirizzi email validati, gerarchie interne, tecnologie in uso) che alimenterà campagne più mirate.
Le modalità operative variano dallo spearphishing verso singoli individui alle campagne massive di credential harvesting, passando per il vishing (chiamate vocali) e conversazioni prolungate via email o instant messaging in cui l'attaccante si finge fornitore, cliente o collega. Tecniche accessorie come Email Spoofing e la manipolazione degli header (Email Hiding Rules) consentono di ingannare tanto la vittima quanto i controlli automatici.
I dati MITRE ATT&CK documentano 5 gruppi APT che utilizzano attivamente T1598, tra cui attori state-sponsored come APT28, Kimsuky e ZIRCONIUM, oltre a gruppi criminali sofisticati come Scattered Spider. Le difese si concentrano su due mitigazioni primarie: formazione degli utenti e configurazione software (SPF/DKIM/DMARC).
In un esercizio red team autorizzato, la simulazione di T1598 richiede infrastruttura dedicata, mandato scritto e regole d'ingaggio esplicite sull'uso di dati personali dei dipendenti bersaglio.
La fase preparatoria inizia con OSINT per costruire pretexting credibili. Strumenti come theHarvester (open source) raccolgono email pubbliche da motori di ricerca e certificate transparency logs, mentre Maltego (freemium) mappa relazioni tra dipendenti, fornitori e domini. Per l'enumerazione LinkedIn e la generazione di liste target, LinkedInt o script personalizzati basati su API pubbliche restano riferimenti comuni. La verifica della validità degli indirizzi email si esegue con tool come Hunter.io (freemium) o interrogando direttamente i server SMTP con comandi come VRFY e RCPT TO dove ancora supportati.
Per l'infrastruttura di delivery, GoPhish (open source) resta il framework più diffuso per campagne di phishing controllate: gestisce template email, landing page cloner, tracking delle interazioni e reportistica per il committente. Un flusso tipico prevede la registrazione di un dominio typosquat, configurazione dei record SPF/DKIM legittimi (fondamentale per bypassare filtri), deploy di GoPhish su VPS con reverse proxy TLS, e clonazione della pagina di login Microsoft 365 o Okta tramite la funzione Import Site.
Per catturare token MFA e sessioni autenticate — tecnica utilizzata da Scattered Spider contro OTP — i red teamer legittimi impiegano Evilginx3 (open source), un reverse proxy man-in-the-middle che intercetta cookie di sessione bypassando MFA basato su OTP tradizionale. La configurazione richiede phishlets dedicati per il target service e certificati Let's Encrypt validi.
Per scenari di vishing (voice phishing), la simulazione include spoofing del caller ID tramite provider VoIP autorizzati e script conversazionali che replicano flussi di supporto IT, richiedendo alla vittima di leggere codici OTP durante finti troubleshooting.
La componente email dovrebbe testare la resistenza dei controlli anti-spoofing: invio da domini senza SPF, con SPF fail deliberato, con DKIM firmato ma allineamento DMARC assente. Tool come MailSniper (open source) automatizzano password spraying contro Exchange/OWA per validare credenziali raccolte.
Ogni attività va tracciata con logging completo: timestamp di invio, click, submit, e ogni credenziale intercettata deve essere gestita in vault crittografato con distruzione post-engagement. Il debrief finale include metriche di click-rate, submit-rate e tempo medio di segnalazione al SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo