Microsoft walczy z phishingiem. Sąd wydał nakaz

Firma Microsoft posiada specjalną jednostkę zajmującą się przestępstwami cyfrowymi (Miscrosoft Digital Crimes Unit). Nie umnkęło ich uwadze działanie narzędzia o nazwie Raccoon0365, które było wykorzystywane przez cyberprzestępców do kradzieży nazw użytkowników oraz haseł do usługi Miscrosoft 365.

Phishing jako usługa

RaccoonO365 (nazywany też Storm‑2246) to usługa oferowana w modelu „phishing-as-a-service”. To zestaw narzędzi do phishingu, dzięki którym osoby nawet o niewielkim stopniu zaawansowania technicznego mogą tworzyć fałszywe strony i wiadomości, podszywając się pod Microsoft.

Zestaw umożliwiał m.in. tworzenie i wysyłanie dużych ilości e‑maili phishingowych, nakłanianie ofiar do logowania się na podrobionych stronach, czy wprowadzanie loginów i haseł Microsoft 365. Dodatkową opcją były próby obejścia zabezpieczeń typu multi‑factor authentication. Dostęp do narzędzia był możliwy dzięki subksrybcji: plan na 30 dni kosztował ok. 355 dol., a na 90 dni – 999 dol.

Działanie na światową skalę

RaccoonO365 działo mniej więcej od lipca 2024 roku. Za jego pomocą wykradziono co najmniej 5 tys. danych logowania do Microsoft 365 z 94 krajów. Wysłano również wiadomości phishingowe do ponad 2,3 tys. organizacji w USA. Użytkownicy mogli wprowadzać do systemu do 9 tys. adresów e‑mail dziennie jako cele ataku.

Microsoft ustalił, że liderem operacji jest Joshua Ogundipe, kierujący akcją z Nigerii. Ogundipe i współpracownicy zarządzali usługą, rozwijali jej kod oraz zajmowali się obsługą klienta. Oszacowano, że otrzymali co najmniej 100 tys. dol. w kryptowalutach jako przychód od użytkowników usługi.

Setki domen przejęte w wyniku nakazu

Sąd w Południowym Dystrykcie Nowego Jorku wydał nakaz, dzięki któremu Microsoft Digital Crimes Unit przejął 338 domen związanych z RaccoonO365. Miało to na celu przerwanie infrastruktury technicznej i odcięcie możliwości korzystania z usługi phishingowej.

W przeprowadzeniu akcji pomógł Cloudflare, który współpracował z Microsoftem blokując domeny, a także zawieszając konta wykorzystywane przez przestępców i wstawiając ostrzeżenia o phishingu.