L'inquietante email di Microsoft: "pagaci, oppure..." ma è l'ennesima truffa

Ti arriva una email da Microsoft 365, sembra tutto legittimo, ma il contenuto è di quelli da far gelare il sangue: "abbiamo immagini compromettenti su di te, pagaci, o le diffondiamo a tutta la tua rubrica". Ma come, Microsoft che minaccia i suoi utenti? Ovviamente no, si tratta dell'ennesimo caso di un filone di truffe estremamente diffuso noto con il nome di sextortion.

Di per sè, la tipologia di truffa (quando va bene, i criminali non hanno veramente materiale scottante; nei casi peggiori si tratta, invece, di vere estorsioni) non è nuova, ma a stupire, semmai, sono le modalità con cui si sta diffondendo: gli hacker hanno individuato una falla nel portale Microsoft 365 Admin per inviare email di sextortion che superano i filtri antispam e arrivano direttamente nelle caselle di posta degli utenti.

Questi messaggi, che sembrano provenire dall’indirizzo ufficiale "[email protected]," appaiono del tutto legittimi, rendendo il raggiro ancora più efficace.

Le email affermano che il dispositivo del destinatario è stato violato e minacciano di diffondere presunti contenuti compromettenti, a meno che non venga effettuato un pagamento in Bitcoin. Il trucco utilizzato dai criminali si basa sulla funzione "Condividi" del Microsoft 365 Message Center. In particolare, viene manipolato il campo "Messaggio personale," che normalmente è limitato a 1.000 caratteri. Gli hacker superano questa restrizione modificando il codice HTML tramite strumenti di sviluppo del browser, riuscendo così a inserire messaggi più lunghi e dettagliati.

Microsoft non ha ancora implementato controlli lato server per bloccare questo tipo di abuso, rendendo possibile l’uso improprio del sistema. Un esempio di queste email è stato condiviso sul forum di Microsoft Answers: il messaggio includeva dettagli personali, come la data di nascita del destinatario, e richieste di pagamento entro 48 ore, aumentando il senso di urgenza e credibilità.

Queste truffe non sono nuove, ma stanno diventando sempre più sofisticate. Gruppi organizzati, come i "Yahoo Boys" dell’Africa occidentale, hanno trasformato queste attività in un vero e proprio business, diffondendo guide su piattaforme come TikTok e YouTube per insegnare a nuovi truffatori come arricchirsi in questo modo. I principali obiettivi sono giovani utenti attivi su social come Instagram e Snapchat.

Nel frattempo, Microsoft ha già annunciato di star lavorando ad una soluzione. L'azienda raccomanda agli utenti raggiunti da questa truffa di non rispondere in alcun modo e, soprattutto, non effettuare pagamenti.