Zestaw phishingowy N0va podszywa się pod Teams, SharePoint, OneDrive i DocuSign

Zestaw phishingowy N0va atakuje organizacje w Ameryce Północnej i Europie. Wiadomości podszywają się pod Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom i Adobe Sign. Kampania nie opiera się wyłącznie na fałszywej stronie logowania. Potrafi przeprowadzić ofiarę przez prawdziwe ścieżki uwierzytelniania, więc cała rozmowa z usługą wygląda wiarygodnie.

Aktywność N0va zaobserwowano w administracji publicznej, firmach technologicznych i doradczych, ochronie zdrowia oraz w innych sektorach. Udany atak daje dostęp do prawdziwego konta bez wyraźnych śladów złośliwego oprogramowania. Ślady kampanii można wyszukać w serwisie ANY.RUN po charakterystycznym wzorcu adresu ze ścieżką /api/verification/init i parametrami session, flow oraz prompt_profile.

Dla firmy jedno przejęte konto może otworzyć drogę do wrażliwych danych, systemów firmowych i zasobów w chmurze. Skala szkód zależy od uprawnień użytkownika. Im dłużej dostęp pozostaje niezauważony, tym większe ryzyko szerszego włamania, przestojów i strat finansowych.