Origami on another Level with 3D Printing

Origami has become known as a miracle technique for designers. Elegant compliant mechanisms can leverage the material properties of a single geometry in ways that are sometimes stronger than those of more complicated designs. However, we don’t generally see origami used directly in 3D printed parts. [matthew lim] decided to explore this uncharted realm with various clever designs. You can check out the video below.

First, [matthew] converts some basic folds into thin 3D printed sheets with thinner portions on crease lines. This allows the plastic to be stiff along flat portions and flexible in bends. Unfortunately, this becomes more difficult with more complicated designs. Crease lines become weak and overstrained to the point of failure, requiring an adjusted method.

With a bit of digging, [matthew] finds some prior work mentioning folds on alternative sides of the panels. Using offset panels allows for complex folds with improved traits, allowing for even thicker panels. [matthew] also experimented with more compliant mechanism-focused prints, twisting cylinders that contract.

This type of 3D printing is always fascinating, as it pushes the limits of what you think is possible with 3D printing alone. If you want more mind-bending 3D printing goodness, check out this mechanism that contracts when you try pulling it apart!

youtube.com/embed/FNVBK7-h9Fs?…

hackaday.com/2025/12/21/origam…

Account Microsoft 365 violati senza password: ecco il nuovo incubo OAuth

I criminali informatici stanno diventando sempre più furbi e hanno trovato un nuovo modo per sfruttare i protocolli di sicurezza aziendali. Sembra incredibile, ma è vero: stanno usando una funzionalità di autenticazione Microsoft legittima per rubare gli account utente.

Il team di ricerca di Proofpoint ha rilevato un aumento del “Device Code Phishing”, una tecnica di phishing che convince le vittime a concedere il controllo completo dei propri account semplicemente inserendo un codice su un sito web attendibile. È come se i malintenzionati avessero trovato un modo per trasformare i protocolli di sicurezza in una debolezza. Ma come funziona esattamente questa tecnica? E cosa possono fare le aziende per proteggersi? Scopriamolo!

Quando OAuth diventa il bersaglio: il dirottamento del flusso di autorizzazione

“La tradizionale consapevolezza del phishing spesso enfatizza la verifica della legittimità degli URL. Questo approccio non affronta efficacemente il phishing tramite codice dispositivo, in cui agli utenti viene chiesto di inserire un codice dispositivo sul portale Microsoft attendibile”, hanno riportato gli esperti nel loro rapporto.

La campagna evidenzia un cambiamento di tattica: invece di rubare direttamente le password, gli hacker rubano le “chiavi” dell’account stesso tramite il protocollo OAuth 2.0. L’attacco sfrutta il flusso di autorizzazione del dispositivo, una funzionalità progettata per aiutare gli utenti ad accedere a dispositivi con capacità di input limitate, come smart TV o stampanti. Quando il dispositivo è legittimo, visualizza un codice e l’utente lo inserisce su un computer o telefono separato per autorizzare l’accesso.

Gli aggressori hanno dirottato questo processo. Inviano email di phishing contenenti un codice e un link al portale di accesso ufficiale di Microsoft (microsoft.com/devicelogin). Poiché l’URL è legittimo, la formazione standard sul phishing spesso fallisce. Questa non è una tecnica isolata utilizzata da un singolo gruppo. I ricercatori di Proofpoint hanno osservato “molteplici cluster di minacce, sia di matrice statale che motivate da interessi finanziari”, che adottano questo metodo.

Una volta che l’utente inserisce il codice, all’applicazione dannosa dell’aggressore viene concesso un token che consente l’accesso persistente all’account Microsoft 365 della vittima. Questo accesso può essere utilizzato per “esfiltrare dati e altro ancora”, spesso aggirando la necessità di conoscere la password dell’utente nelle sessioni future.

L’attacco Account Takeover (ATO).

L’Account Takeover (ATO) è una tecnica di attacco informatico in cui un criminale ottiene il controllo completo di un account legittimo, impersonando l’utente reale senza destare sospetti immediati. A differenza delle violazioni tradizionali, l’ATO non richiede necessariamente il furto della password: gli attaccanti possono sfruttare token di autenticazione, flussi OAuth o meccanismi di accesso legittimi per entrare nell’account in modo del tutto valido dal punto di vista tecnico. Questo rende l’attacco particolarmente insidioso, perché i sistemi di sicurezza registrano l’accesso come regolare.

Una volta compromesso l’account, l’attaccante può leggere email, accedere a documenti riservati, creare regole di inoltro invisibili, avviare frodi interne o mantenere un accesso persistente nel tempo, anche dopo il cambio della password. L’Account Takeover è oggi una delle minacce più pericolose per le organizzazioni, perché sfrutta la fiducia riposta nei meccanismi di autenticazione moderni e nella stessa identità digitale dell’utente, trasformando un accesso legittimo in un vettore di compromissione.

La componente psicologica negli attacchi OAuth-based è sempre la base

La chiave del successo di questi attacchi risiede nella manipolazione della psicologia degli utenti. Un senso di urgenza viene creato dalle esche, che spesso mimano avvisi di sicurezza o richieste amministrative. Gli aggressori, rappresentando l’attacco come un controllo obbligatorio o un aggiornamento di sicurezza, inducono gli utenti a compiere l’azione che li rende vulnerabili.

Mentre le organizzazioni rafforzano le loro difese con l’autenticazione a più fattori (MFA) e le chiavi FIDO, gli aggressori sono costretti a trovare soluzioni alternative. L’abuso di flussi di autorizzazione validi sembra essere la prossima frontiera. “Proofpoint stima che l’abuso dei flussi di autenticazione OAuth continuerà a crescere con l’adozione di controlli MFA conformi a FIDO”, hanno concluso i ricercatori.

Come difendersi dal Device Code Phishing

La difesa da questo tipo di attacco richiede un cambio di paradigma: non basta più insegnare agli utenti a controllare l’URL. Il Device Code Phishing sfrutta portali legittimi e flussi di autenticazione validi, rendendo inefficace la formazione basata esclusivamente sul riconoscimento di siti falsi. È quindi fondamentale affiancare alla consapevolezza dell’utente controlli tecnici mirati sui flussi OAuth.

Dal punto di vista operativo, le organizzazioni dovrebbero limitare o disabilitare il Device Code Flow ove non strettamente necessario e applicare policy di Conditional Access più restrittive, includendo MFA anche per i flussi OAuth e non solo per il login interattivo. Il controllo del contesto di accesso (posizione, dispositivo, rischio della sessione) diventa cruciale per intercettare utilizzi anomali di token apparentemente legittimi.

Infine, è essenziale monitorare e governare le applicazioni OAuth autorizzate nel tenant. L’uso di app non verificate o con privilegi eccessivi rappresenta un vettore di compromissione spesso sottovalutato. La revisione periodica dei consensi, il principio del minimo privilegio e il monitoraggio dei log di autenticazione legati al Device Code Flow possono fare la differenza nel rilevare e contenere un Account Takeover prima che l’accesso diventi persistente.

L'articolo Account Microsoft 365 violati senza password: ecco il nuovo incubo OAuth proviene da Red Hot Cyber.

Google contro la Mafia del Phishing Cinese! Intentata una Causa contro Lighthouse

Google ha intentato una causa contro un gruppo criminale informatico transnazionale responsabile di una massiccia campagna di phishing tramite SMS . Nei documenti, l’azienda identifica un gruppo soprannominato dai ricercatori “Smishing Triad” e sostiene che il nucleo di questa rete abbia sede in Cina.

Google stima che oltre 1 milione di persone in 120 paesi siano già state colpite dalle campagne e che l’infrastruttura di attacco sia gestita da Lighthouse, un costruttore di phishing basato sul modello “phishing-as-a-service” .

Le accuse invocano tre leggi statunitensi: il RICO (Resisting Organized Crime), il Lanham Act (Trademark and Unfair Competition Act) e il CFAA (Computer Fraud and Abuse Act). L’azienda sta cercando di intraprendere un’azione legale per bloccare i servizi degli aggressori e la piattaforma Lighthouse, che, secondo gli avvocati, produce una serie di pagine preimpostate per il furto di dati personali.

Lo schema di attacco è semplice ed efficace: il destinatario riceve una “notifica importante” con un link a un sito web falso. Lì, la vittima viene convinta a inserire informazioni riservate, dal codice fiscale e dai dati del conto bancario ad altre informazioni di pagamento. I pretesti tipici includono un presunto blocco della carta, un “debito” per commissioni governative, un “aggiornamento sulla consegna” o la segnalazione di una “transazione sospetta”.

Gli operatori hanno sfruttato la fiducia in marchi noti, tra cui E-ZPass, il servizio postale statunitense e i servizi del gigante della ricerca. Audit interni hanno scoperto oltre 100 mockup di pagine di accesso che utilizzavano loghi e design di Google per simulare accessi autentici e successivamente rubare le password.

L’azienda descrive l’entità del danno in termini crudi: solo negli Stati Uniti, gli aggressori potrebbero aver rubato tra 12,7 e 115 milioni di carte bancarie. Questa differenza è spiegata dalle differenze nelle fonti e nei metodi di calcolo, ma anche il limite inferiore dimostra l’aggressività dell’ecosistema in questione .

L’indagine ha toccato anche l’aspetto organizzativo. Secondo il consulente legale, circa 2.500 partecipanti si sono coordinati in un canale Telegram aperto: lì hanno reclutato appaltatori, discusso tattiche, testato e gestito Lighthouse. All’interno della struttura, sono stati identificati reparti separati: i broker di dati hanno fornito database di potenziali vittime, gli spammer hanno gestito le e-mail e un altro gruppo ha utilizzato le credenziali ottenute per successivi furti sulle stesse piattaforme.

Google sottolinea che questa è la prima causa intentata contro operazioni di phishing tramite SMS da parte di un’azienda tecnologica. Gli avvocati insistono sul fatto che, oltre agli strumenti legali, le regole del gioco debbano essere modificate anche a livello politico. Pertanto, l’azienda ha sostenuto tre iniziative bipartisan al Congresso: il GUARD Act (per proteggere i risparmiatori anziani dalle frodi), il Foreign Robocall Elimination Act (per creare una task force contro le robocall straniere) e lo Scam Compound Accountability and Mobilization Act (per reprimere i centri di phishing e assistere le vittime della tratta di esseri umani all’interno di tali centri).

L’azienda ha recentemente introdotto Key Verifier e algoritmi basati sull’intelligenza artificiale in Google Messaggi per filtrare con maggiore precisione i messaggi sospetti e bloccare i link dannosi prima che vengano cliccati.

L’obiettivo dell’azienda è chiaro: fermare la diffusione di Lighthouse, creare un precedente che raffreddi l’ardore dei seguaci di questi criminali e ridurre i rischi per le persone e le organizzazioni i cui marchi gli aggressori si sono appropriati per “legittimare” i loro siti web. Se il tribunale accogliesse la causa, Smishing Triad perderebbe una piattaforma fondamentale, rendendo più facile per gli ISP e le forze dell’ordine smantellare simultaneamente i nodi rimanenti di questa rete.

L'articolo Google contro la Mafia del Phishing Cinese! Intentata una Causa contro Lighthouse proviene da Red Hot Cyber.