Negli ultimi giorni il team di Cyber Threat Intelligence di D3Lab ha intercettato una campagna di phishing ai danni di Facebook Business che si distingue per una caratteristica particolarmente insidiosa: l’utilizzo dell’infrastruttura di Salesforce, uno dei principali CRM a livello mondiale, come canale di invio delle email fraudolente.

L’email analizzata arriva da un indirizzo del tutto legittimo, [email protected], e supera i controlli SPF senza problemi. Non siamo quindi davanti a un classico caso di spoofing, bensì a un abuso consapevole delle funzionalità offerte dalla piattaforma. I criminali, infatti, registrano un account su Salesforce approfittando della demo gratuita e sfruttano questo accesso per inviare messaggi fraudolenti che appaiono tecnicamente autentici e quindi difficili da bloccare con i filtri antispam tradizionali.

Il testo della comunicazione simula una notifica legale proveniente da Sony Music Italy tramite lo studio Legance – Avvocati Associati, sostenendo che i contenuti musicali protetti da copyright sarebbero stati condivisi senza autorizzazione sulle pagine Facebook del destinatario. Per aumentare la pressione psicologica viene fornito un numero di caso fittizio e si prospettano possibili conseguenze legali. All’interno del messaggio è presente un link che sembra appartenere a business.facebook.com, ma che in realtà reindirizza verso un dominio esterno creato Ad-Hoc dai criminali (metahelp-support[.]com).