Vishing: Spearphishing Voice (T1598.004)
La tecnica T1598.004 — Spearphishing Voice, comunemente nota come vishing (voice phishing), rappresenta una delle forme più insidiose di ingegneria sociale contemporanea. Collocata nella tattica TA0043 (Reconnaissance) del framework MITRE ATT&CK, questa tecnica sfrutta la comunicazione vocale — telefonate dirette, robocall automatizzati o schemi di callback phishing — per estorcere alle vittime credenziali, token MFA, informazioni finanziarie o dati utili a preparare le fasi successive dell'intrusione.
Gli attaccanti utilizzano tipicamente numeri telefonici falsificati tramite caller ID spoofing e assumono identità fittizie credibili: tecnici IT, colleghi di altri dipartimenti, fornitori, partner commerciali o operatori del service desk. La leva psicologica dominante è quasi sempre l'urgenza combinata con l'autorità percepita, elementi che riducono la capacità critica del bersaglio.
Il vishing si distingue dallo spearphishing via email per un fattore critico: l'assenza di artefatti tecnici tradizionali. Non ci sono allegati da analizzare in sandbox, header SMTP da correlare, URL da detonare. La conversazione avviene su un canale — la voce — che raramente viene registrato o ispezionato dai sistemi di sicurezza aziendali. Casi documentati come le intrusioni di LAPSUS$ contro help desk aziendali e le campagne di Scattered Spider hanno dimostrato come una singola chiamata di pochi minuti possa neutralizzare investimenti multimilionari in EDR, SIEM e MFA, ottenendo il reset di credenziali privilegiate o l'autorizzazione di applicazioni malevole.
Un red team che vuole simulare T1598.004 deve costruire una catena operativa che combini OSINT preparatorio, infrastruttura di chiamata e pretesti verosimili, sempre operando all'interno del rules of engagement concordato e con autorizzazione scritta esplicita.
La fase preparatoria parte dalla raccolta di target list attraverso theHarvester (open source), theHarvester -d azienda-target.tld -b all, integrato da estrazioni da LinkedIn con Maltego CE (freemium) per mappare gerarchie, ruoli IT e responsabili di help desk. Strumenti come Phonebook.cz (gratuito) e Hunter.io (freemium) aiutano a correlare email a numeri diretti quando disponibili. La ricognizione linguistica su ticket pubblici, offerte di lavoro e comunicati stampa consente di ricostruire terminologia interna, nomi di sistemi (Jira, ServiceNow, Okta) e procedure di reset password — elementi che rendono il pretesto indistinguibile da una chiamata legittima.
Per l'infrastruttura di chiamata, i tool più utilizzati in ambito red team sono Asterisk (open source) e FreePBX (open source) configurati con trunk SIP presso provider VoIP che consentono la modifica del caller ID (verificare sempre la legalità nella giurisdizione operativa). Il framework SocialFish (open source) e Evilginx3 (open source) coprono la parte web di callback phishing: la vittima chiama un numero fornito via email, viene guidata verso un portale AiTM che intercetta credenziali e cookie di sessione, bypassando MFA basata su TOTP o push notification.
Lo scenario classico di attacco al service desk si sviluppa così: l'operatore red team chiama il numero interno spacciandosi per un dipendente in trasferta che ha smarrito il telefono con l'authenticator. Fornisce dati anagrafici raccolti in OSINT (data di assunzione, manager diretto, ultimo progetto pubblico) e chiede il reset della MFA. Se il processo di verifica dell'help desk è debole, il tecnico registra un nuovo device controllato dall'attaccante.
Per la parte di callback phishing si genera un'email che simula una fattura scaduta o un allarme di sicurezza con un numero telefonico. Framework come GoPhish (open source) permettono di orchestrare la campagna email e tracciare chi effettivamente richiama. Le conversazioni possono essere prototipate con script conversazionali e testate in dry-run interni prima dell'esecuzione.
Ogni engagement deve produrre metriche misurabili: percentuale di dipendenti che divulgano credenziali, tempo medio prima della segnalazione all'incident response, efficacia delle procedure di callback verification del service desk.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo