Vishing Mirato: Spearphishing Voice (T1566.004)
Lo Spearphishing Voice rappresenta una variante della famiglia phishing in cui il vettore d'attacco non è un allegato o un link inviato via email, ma una conversazione vocale — telefonata tradizionale, chiamata VoIP o messaggio audio — orchestrata per manipolare la vittima e indurla a compiere azioni che spalancano le porte del perimetro aziendale.
Collocata nella tattica TA0001 (Initial Access), questa tecnica sfrutta la fiducia interpersonale e l'urgenza percepita per bypassare i controlli tecnologici. L'attaccante si presenta tipicamente come personale IT, help desk o fornitore di servizi, guidando l'utente a visitare URL malevoli, installare Remote Management Tools o approvare prompt MFA fraudolenti.
A differenza dello spearphishing testuale, qui il malware non viene consegnato direttamente: l'esecuzione dipende interamente dalla User Execution guidata dalla voce dell'aggressore. Questo rende la tecnica particolarmente insidiosa perché elude gateway email, sandbox e filtri anti-phishing. La combinazione con Multi-Factor Authentication Request Generation permette poi di superare anche difese di autenticazione forte, con l'utente che diventa il punto di rottura della catena.
Campagne recenti attribuite a Scattered Spider e Storm-1811 hanno dimostrato l'efficacia devastante di questa tecnica contro settori telco, BPO e grandi enterprise, con impatti che spaziano dal ransomware al furto massivo di credenziali cloud.
Un esercizio red team che simuli Spearphishing Voice richiede pianificazione OSINT, infrastruttura telefonica controllata e uno script conversazionale realistico. La fase preparatoria parte dalla ricognizione del target: identificazione dell'help desk interno, nomi dei tecnici IT, orari di reperibilità, terminologia aziendale e sistemi di ticketing in uso. Strumenti come theHarvester (open source), Maltego CE (freemium) e LinkedIn Sales Navigator (a pagamento) permettono di ricostruire l'organigramma e individuare vittime con privilegi elevati ma esposizione media alle minacce.
Per l'infrastruttura vocale, un lab controllato può appoggiarsi a Asterisk o FreePBX (entrambi open source) configurati con trunk SIP forniti da provider come Twilio (a pagamento) o Telnyx (a pagamento), che consentono anche lo spoofing del Caller ID entro limiti contrattuali. Il framework Gophish (open source) può gestire la componente email di supporto — il classico pretesto "le ho appena inviato una mail, mi conferma il codice?" — mentre SpoofCard (a pagamento) offre alternative rapide per il masking del numero chiamante.
Lo scenario tipico ricalca la playbook di Storm-1811: l'operatore chiama la vittima fingendosi supporto IT durante un finto incidente di posta elettronica, la convince ad aprire Quick Assist (nativo Windows) o a scaricare un RMM legittimo come AnyDesk (freemium), ScreenConnect (a pagamento) o TeamViewer (freemium). Una volta ottenuto il controllo remoto, l'attaccante esegue script PowerShell per stabilire persistenza.
Un comando dimostrativo eseguito post-accesso, tipico nelle catene osservate:
powershell -ExecutionPolicy Bypass -File payload.ps1
Per simulare l'attacco MFA fatigue combinato, tool come Evilginx2 (open source) permettono di intercettare sessioni tramite reverse proxy mentre l'operatore vocale guida la vittima ad approvare i prompt push. Alternative come EvilProxy o Modlishka (open source) offrono capacità simili di Adversary-in-the-Middle.
Il red team deve documentare l'intera social engineering kill chain: pretexting utilizzato, tempo di conversazione fino alla compromissione, tasso di successo per ruolo target e reazione dell'help desk quando la vittima segnala l'evento. Le regole d'ingaggio devono esplicitamente autorizzare le chiamate, definire le fasce orarie e garantire un debriefing immediato con le vittime coinvolte per evitare stress psicologico. Registrazioni audio (dove consentite dalla normativa locale) diventano materiale prezioso per successivi programmi di awareness.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.