Pink Extortion infetta le imprese con una telefonata: come difendersi dal finto ransomware

A Pink Extortion è sufficiente una telefonata per ottenere le password. Infatti, è un finto ransomware che sfrutta il vishing (il phishing vocale) per colpire le imprese, conquistando – con tecnica estorsiva – le credenziali aziendali e bypassando l’autenticazione multifattore.

Secondo Unit 42 e Google Threat Intelligence, Pink si mimetizza da personale IT interno, per indurre le vittime a immettere le password su pagine fasulle, in modo da accedere velocemente a SharePoint, OneDrive ed altri sistemi aziendali della galassia Microsoft 365.

“Quello che il gruppo Pink Extortion mette in atto contro gli utenti Microsoft 365 non è ransomware in senso tecnico”, commenta Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360.

Tuttavia, è temibile. Infatti, “il caso sembra quasi segnare un ritorno all’antico, con un pizzico di modernità, in fondo il vishing è stata la madre di tutte le tecniche di social engineering e senza dubbio sta vivendo una nuova stagione d’oro”, secondo Alessandro Curioni, Presidente e fondatore di DI.GI Academy.

Ecco come proteggersi.

Il finto ransomware Pink Extortion

Pink, nome in codice cluster CL-CRI-1147, potrebbe essere frutto dell’evoluzione di precedenti gruppi ransomware o rebranding di un team esistente, anche se tecnicamente non lo è. Ma costituisce una cyber minaccia in crescita che scommette sul social engineering invece di avvalersi di tecnicalità più raffinate.

“Il ransomware infatti presuppone la presenza di malware, cifratura dei dati, compromissione di sistemi. Qui non c’è nulla di tutto questo: si tratta però di esfiltrazione di dati seguita da estorsione telefonica, ovvero vishing combinato con social engineering classico”, avverte Dario Fadda.

Con una telefonata, gli attori criminali inducono le vittime a parlare con un dipendente IT interno di un’impresa e poi le convincono a immettere le proprie credenziali su una pagina fasulla, sotto il loro controllo.

In questo caso, “è interessante un passaggio fondamentale. Se in passato il criminale cercava di farsi dire le credenziali adesso chiede di scriverle all’interno di quello che apparentemente è un sito legittimo.

L’effetto psicologico sulla vittima è senza dubbio potente, perché non ha la sensazione di rivelarla a ‘qualcuno’ (violando una regola elementare sulla quale da due decenni insistono regolamenti e corsi di formazione), ma semplicemente a ‘qualcosa’ che, se presentato nei giusti modi, può sembrare una misura di sicurezza“, sottolinea Curioni.

Una volta ottenuto l’accesso tramite una telefonata persuasiva, l’immissione delle credenziali su un sito di phishing, aggirata l’autenticazione a più fattori, Pink punta all’estrazione rapida dei dati dai sistemi aziendali.

Le piattaforme nel mirino sono soprattutto SharePoint e OneDrive. L’account compromesso permette infine agli aggressori l’iniezione di ransomware e messaggi nelle chat interne di Microsoft Teams.

I dettagli

Pink Extortion (che, dopo la chiusura di BlackFile nel maggio 2026, era riemerso come Redact e potrebbe ora essersi così ribattezzato) ha un’infrastruttura affine per il furto di credenziali, un sito di data breach simile e i cyber criminali ripetono i messaggi persuadendo le vittime a ricevere aiuto per “migliorare la propria sicurezza” in cambio di un pagamento.

Google intravede legami fra questa attività e il codice UNC6671. “Non essendo ransomware, per il momento si è scelto che il gruppo non sia in monitoraggio su Ransomfeed, quindi non ho dati da condividere su questo scenario”, avverte Dario Fadda.

Come proteggersi

In mancanza di ransomware, Pink Extortion elude i controlli, ma affina le tecniche di social engineering, furto di account ed estorsione. Tutte tattiche analoghe a quelle di Bling Libra, ShinyHunters, cluster CL-CRI-1116, associato a Blackfile e Redact.

“Non essendoci malware, non ci sono difese tecniche capaci, se non la percezione umana. Nessun EDR potrà fermare una telefonata. Il meccanismo è lo stesso che esiste da decenni: qualcuno ti chiama, finge di avere informazioni compromettenti su di te, e ti chiede soldi per il silenzio”, mette in guardia Fadda.

“Negli ultimi tempi, gli attacchi puntano sempre meno sulla tecnologia e sempre di più sulla psicologia”, conclude Curioni.

Per proteggersi servono consapevolezza, come prima arma di difesa, formazione e simulazioni in azienda per imparare a non cadere vittime di phishing e ingegneria sociale.