RingCentral: breach da 1,6 milioni di record via telefonata…

ShinyHunters ha compromesso RingCentral con una telefonata: 1,6 milioni di record esposti e 280 GB leakati. Il vishing in tempo reale mostra i limiti della MFA OTP.

RingCentral ha reso pubblico il 28 luglio 2026 una data breach che ha esposto circa 1,6 milioni di record di contatto. L'attacco, rivendicato dal gruppo ShinyHunters, non ha sfruttato vulnerabilità tecniche nella piattaforma: è bastata una telefonata a un dipendente. Il caso riaccende il dibattito sui limiti della MFA basata su OTP contro l'ingegneria sociale in tempo reale, con conseguenze che si estendono alla supply chain di fiducia dei servizi cloud.

Punti chiave

1,6 milioni di record compromessi, confermati da Have I Been Pwned, con nomi, email, numeri telefono e indirizzi fisici
623 GB di dati esfiltrati secondo la rivendicazione di ShinyHunters; 280 GB effettivamente leakati in seguito al mancato pagamento del riscatto
Vettore di attacco: vishing (voice phishing) di un dipendente, con cattura e relay in tempo reale del codice OTP entro una finestra di 30 secondi
Nessun exploit tecnico o malware secondo il security bulletin di RingCentral; nessun impatto sulla piattaforma core o sulla disponibilità dei servizi

Il meccanismo: una telefonata e una finestra di 30 secondi

L'accesso iniziale non è passato per zero-day o configurazioni errate. Secondo il portavoce di ShinyHunters contattato da The Register, il gruppo ha "broke into RingCentral by voice-phishing an employee and tricking them into giving the crooks their password". Il dipendente ha ricevuto una chiamata da attori che si sono presentati come IT support, con tecniche di pretesting che hanno reso credibile la richiesta.

TechTimes ha descritto nel dettaglio la catena operativa: indirizzamento verso un sito clone, cattura delle credenziali, generazione del codice MFA da parte della vittima, e relay immediato all'attaccante che lo utilizza entro i 30 secondi di validità. Nessuna falla nel prodotto RingCentral; il fallimento è umano-organizzativo nella verifica dell'identità del chiamante.

Il gruppo ha pubblicato i dati su un leak site il 3 agosto 2026. Have I Been Pwned ha aggiunto il breach al proprio database il 13 agosto, confermando "approximately 1.6 million unique email addresses" con nomi, numeri di telefono e indirizzi fisici associati. RingCentral ha dichiarato di non aver rilevato nuova attività non autorizzata dopo le contromisure adottate.

"The company failed to reach an agreement with us despite our incredible patience, all the chances and offers we made. They don't care" — ShinyHunters, leak site (via The Register)

623 GB esfiltrati, 280 GB leakati: le cifre del riscatto mancato

ShinyHunters ha rivendicato l'esfiltrazione di 623 GB di dati. Dell'archivio completo, 280 GB compressi sono stati effettivamente rilasciati sul dark web dopo che RingCentral ha rifiutato il pagamento del riscatto. Il dossier non specifica l'entità economica della richiesta estorsiva.

I record esposti riguardano esclusivamente dati di contatto: nomi, email, numeri telefono, indirizzi fisici. Non risulta confermata la presenza di password, informazioni finanziarie o altri dati sensibili di natura diversa. RingCentral ha comunicato pubblicamente che "if you are not contacted by RingCentral, you are not affected", limitando la platea delle notifiche dirette rispetto al totale dei record scoperti da HIBP.

Sullo sfondo, i circa 600.000 clienti business di RingCentral amplificano il perimetro di esposizione potenziale. I dati di contatto compromessi diventano munizioni per campagne di vishing successive: la natura stessa del breach — telefonia aziendale compromessa via telefonia — rende i pretesting futuri ancor più credibili.

La catena di fiducia e il ritorno di mira

L'ironia strutturale del caso sta nel canale: un provider di telefonia aziendale violato tramite il proprio medium primario. Per i clienti RingCentral, il doppio rischio non è teorico. I dati esposti — nomi, email, numeri telefono — sono esattamente le informazioni necessarie per costruire chiamate di vishing mirate. E il contesto del breach fornisce al pretesting un contesto narrativo plausibile: "siamo il supporto RingCentral, stiamo ricontattando i clienti interessati all'incidente di luglio".

Bridewell BCON ha documentato un'infrastruttura vishing più ampia, con oltre 100 domini maliziosi che condividono phishing kit. Alcuni di questi domini sono collegati a vittorie successive pubblicate sui leak site di ShinyHunters, secondo la ricerca citata da Cyber Magazine. Il collegamento è marcato come "most attributable" da Bridewell, non come certezza assoluta: indica pattern operativi ricorrenti piuttosto che identità certa dell'operatore dietro ciascun dominio.

Come ha osservato Gavin Knapp, Head of Cyber Threat Intelligence presso Bridewell: "Blocking one domain or responding to one phishing attempt is only part of the picture". L'infrastruttura è progettata per la resilienza: la chiusura di un singolo punto non interrompe la catena.

Perché la MFA OTP non basta più

Il nucleo tecnico del breach non è una vulnerabilità da patchare. È un limite architetturale della MFA basata su one-time password. Il codice OTP, per definizione, deve essere digitato dall'utente. Se l'attaccante è in comunicazione audio in tempo reale con la vittima, può catturare il codice e relayarlo immediatamente, entro la finestra di validità.

TechTimes ha sottolineato che le passkeys FIDO2 avrebbero bloccato strutturalmente questo attacco: l'autenticazione crittografica è legata al dominito legittimo e non è trasferibile via telefonata. Il dossier non specifica se RingCentral avesse implementato FIDO2 come opzione e se fosse stata disponibile per l'account compromesso. Ciò che è documentato è che l'assenza di questo livello ha permesso il relay OTP.

Il caso rientra in un pattern documentato da mesi. ShinyHunters utilizza il vishing come vettore standard, con tecniche che TechTimes ha messo in relazione a cluster UNC tracciati da Mandiant. La citazione dei cluster UNC è presente nella fonte ma non verificabile indipendentemente dalle altre: va letta come indicazione di maturità del pattern, non come attribuzione formale a un'operazione specifica di Mandiant su questo incidente.

Cosa fare adesso

Verificare su Have I Been Pwned se i propri indirizzi email risultano nel dataset del breach RingCentral, tenendo conto che la notifica diretta da parte dell'azienda non ha coperto l'intero perimetro dei 1,6 milioni di record
Trattare con sospetto le chiamate di supporto IT in arrivo non richieste, anche se il chiamante cita l'incidente RingCentral: il pretesting su questo breach è tecnicamente banale da costruire
Valutare la migrazione da MFA OTP a autenticatori FIDO2/passkeys dove disponibili, per eliminare la finestra di relay in tempo reale che ha caratterizzato questo attacco
Richiedere ai provider di comunicazione cloud nella propria supply chain la documentazione dei controlli anti-vishing applicati agli operatori di supporto clienti

Il limite della verifica umana

RingCentral non è caduta per un bug. È caduta per un gap che nessun patch Tuesday risolve: la capacità di un dipendente di verificare chi sta dall'altra parte della cornetta. La piattaforma tecnica ha retto, i dati sensibili di natura non pubblica sono stati contenuti, eppure 1,6 milioni di record sono comunque usciti.

Per le imprese che usano servizi cloud critici, il messaggio è che la catena di fiducia si allunga fino all'operatore di supporto telefonico del vendor. Quando quel vendor è un provider di telefonia, il vettore di attacco e il prodotto coincidono. Il prossimo vishing che riceveranno i clienti RingCentral potrebbe essere costruito sui dati di questo stesso breach, con una credibilità che i controlli tecnici standard non possono filtrare.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti