Un nuovo attacco phishing sta sfruttando il nome di Microsoft Teams per convincere gli utenti ad aprire un documento “sicuro” e installare un presunto aggiornamento. In realtà, l’aggiornamento è falso e serve a introdurre sul PC strumenti di controllo remoto perfettamente legittimi, che diventano una porta d’ingresso per gli attaccanti.
Per un’azienda il rischio è concreto perché questo tipo di attacco non si basa su malware “esotici”, ma su software normalmente usati dall’IT. Proprio per questo può risultare più difficile da individuare e, se non ci sono controlli interni chiari, può lasciare accessi persistenti ai criminali senza destare subito sospetti.
Cosa è successo
Il 27 luglio 2026 The Hacker News ha riportato una campagna analizzata da ZeroBEC e battezzata Operation BlueDash. L’operazione usa email di phishing che promettono l’accesso a un “secure document”, cioè un documento condiviso in modo protetto.
Il meccanismo è semplice e insidioso. La vittima clicca sul link, viene reindirizzata tramite infrastrutture web compromesse e approda su una falsa pagina in stile Microsoft Store. Qui compare il messaggio secondo cui Microsoft Teams deve essere aggiornato prima di poter aprire il documento condiviso.
Il dettaglio importante è che la pagina non distribuisce un malware tradizionale, ma un file che scarica e installa strumenti RMM, cioè software di Remote Monitoring and Management. In questo caso, secondo la ricerca citata, gli strumenti distribuiti sono Level RMM e ConnectWise ScreenConnect. In una variante separata a tema Zoom viene usato anche Tactical RMM.
In altre parole: l’utente pensa di aggiornare Teams, ma in realtà autorizza l’installazione di software che consente a terzi di collegarsi al computer da remoto.
Perché l’uso di strumenti legittimi rende l’attacco più pericoloso
Molte aziende associano il concetto di attacco a un file malevolo facilmente bloccabile da antivirus o filtri email. In questa campagna, invece, gli aggressori sfruttano strumenti noti, diffusi e spesso presenti anche in contesti aziendali leciti.
Questo cambia completamente il problema.
Un tool RMM è pensato per amministrare PC, fornire supporto tecnico, fare manutenzione, distribuire aggiornamenti e intervenire da remoto. Se finisce nelle mani sbagliate, può offrire agli attaccanti quasi le stesse possibilità di un tecnico autorizzato: accesso continuo, esecuzione di comandi, raccolta di informazioni sul sistema e possibilità di muoversi con calma nell’ambiente compromesso.
Secondo ZeroBEC, l’installazione di più strumenti RMM sullo stesso host sembra avere un obiettivo preciso: creare ridondanza. Se un programma viene rilevato e rimosso, l’altro può restare attivo e mantenere il collegamento. È un approccio pragmatico che punta alla persistenza più che al colpo immediato.
Come funziona la catena dell’attacco
Le informazioni pubblicate mostrano una catena d’azione ben organizzata.
Dopo il download, il file esegue uno script che avvia PowerShell in modo nascosto e recupera un installer ufficiale di Level RMM. Il computer viene quindi registrato usando un segreto di enrollment controllato dagli attaccanti. Lo stesso comando PowerShell è stato osservato mentre scaricava e distribuiva anche ScreenConnect in parallelo.
Una volta ottenuto l’accesso, gli operatori non agiscono in modo casuale. La ricerca descrive una serie di comandi usati per capire:
- se il sistema è in attesa di riavvio;
- se il volume di sistema è protetto;
- quali profili firewall sono attivi;
- chi sono i membri del gruppo Administrators locale;
- come è denominato il gruppo degli amministratori sul sistema.
Questo comportamento suggerisce un metodo operativo chiaro: prima si valuta lo stato della macchina, poi si capisce quali difese sono presenti e quali utenti hanno privilegi elevati, infine si decide come proseguire.
Per i difensori è un segnale utile: non basta cercare “file malevoli”, bisogna anche osservare chi sta usando gli strumenti di amministrazione remota, da dove e con quali azioni.
Una campagna attiva da mesi e non limitata a Teams
Un altro elemento rilevante è la continuità dell’operazione. Dalla ricostruzione riportata, la campagna sarebbe attiva almeno da febbraio 2026, data a cui risalirebbe la creazione del repository GitHub collegato all’infrastruttura dell’attacco.
L’analisi dell’infrastruttura ha inoltre messo in luce un approccio “multi-brand”. Non esiste solo l’esca a tema Teams: sarebbe stata trovata anche una variante che usa Zoom come pretesto, mantenendo però la stessa logica di fondo. Cambia il marchio usato per attirare la vittima, ma il modello resta identico: fingere un’azione di lavoro quotidiana per far installare un accesso remoto controllato dai criminali.
ZeroBEC attribuisce l’operazione con confidenza da moderata ad alta a un gruppo attivo dalla Nigeria, sulla base di elementi legati all’infrastruttura, alla cronologia del codice e all’ambiente GitHub impiegato per la gestione delle campagne.
Il contesto: il phishing aziendale sta diventando più credibile
Operation BlueDash non è un caso isolato, ma parte di una tendenza più ampia. Già in precedenza Microsoft aveva segnalato campagne che sfruttavano inviti a meeting di lavoro e allegati PDF per distribuire componenti firmati digitalmente, poi usati come ponte per installare ScreenConnect e altri tool RMM.
Sempre ZeroBEC aveva documentato, a maggio 2026, una campagna che usava falsi documenti condivisi per introdurre backdoor basate su software di gestione remota.
Il messaggio per le aziende è chiaro: il phishing non punta più solo a rubare credenziali con pagine malfatte o email sgrammaticate. Sempre più spesso imita processi di lavoro credibili:
- apertura di documenti condivisi;
- accesso a meeting;
- aggiornamenti urgenti di software noto;
- richieste di supporto o verifica account.
È esattamente questa normalità apparente a renderlo efficace.
Cosa significa per la tua azienda
Per una PMI italiana il rischio maggiore non è soltanto il singolo PC compromesso, ma il fatto che un accesso remoto non autorizzato possa restare attivo abbastanza a lungo da permettere agli attaccanti di osservare, raccogliere informazioni e allargare il perimetro dell’incidente.
Ecco le misure più utili, in concreto.
1. Definisci un elenco ufficiale degli strumenti remoti autorizzati
In molte aziende piccoli software di assistenza remota compaiono nel tempo senza una governance chiara. Occorre decidere quali tool sono ammessi, chi può installarli e con quale procedura. Tutto il resto deve essere considerato anomalo.
2. Blocca le installazioni non approvate
Se gli utenti possono installare liberamente software scaricato dal web, campagne come questa partono avvantaggiate. Limitare i privilegi locali e gestire in modo centralizzato le postazioni riduce molto il rischio. In quest’ottica può essere utile una soluzione di desktop IT management per avere visibilità su software, configurazioni e attività amministrative.
3. Verifica i domini e i percorsi di aggiornamento
Teams, Zoom e gli altri strumenti aziendali non dovrebbero essere aggiornati da link ricevuti via email o da pagine improvvisate. Gli aggiornamenti devono arrivare dai canali ufficiali o da sistemi centralizzati aziendali.
4. Monitora PowerShell e i nuovi agenti remoti
Un comportamento come l’avvio nascosto di PowerShell seguito dall’installazione di agenti RMM è un segnale da investigare subito. Anche se il software è legittimo, il contesto può non esserlo affatto.
5. Controlla periodicamente chi ha accesso remoto ai PC
È buona prassi verificare con frequenza quali agenti remoti sono presenti sulle macchine, a quali account risultano registrati e se corrispondono davvero ai processi IT interni o al fornitore incaricato.
6. Prepara il recupero dei dati prima dell’incidente
Se un accesso remoto viene usato per cifrare file, alterare configurazioni o cancellare dati, la capacità di ripristino diventa decisiva. Un sistema di remote backup ben configurato aiuta a ridurre tempi di fermo e danni operativi.
7. Forma il personale sui falsi documenti condivisi
La formazione va aggiornata: oggi non basta dire “non aprite allegati sospetti”. Bisogna spiegare che anche una richiesta apparentemente normale, come leggere un documento o aggiornare Teams, può essere il punto di partenza di un attacco.
8. Chiarisci il processo di segnalazione interna
Se un dipendente vede una pagina insolita che chiede l’update di un programma per aprire un file, deve sapere subito chi chiamare e cosa fare. Un contatto tecnico rapido e procedure semplici fanno la differenza, soprattutto nelle prime ore. In molte realtà questo rientra in un buon contratto di assistenza informatica, utile per avere risposta operativa senza improvvisazioni.
Un punto spesso sottovalutato: l’attacco passa da attività “normali”
Questo caso merita attenzione perché dimostra un cambio di metodo. Gli attaccanti non hanno bisogno di strumenti particolarmente sofisticati se riescono a inserirsi dentro azioni quotidiane già accettate dagli utenti: aprire un documento, aggiornare un’app, partecipare a un meeting.
Per questo la difesa non può basarsi solo sul blocco del malware. Serve una combinazione di policy, controllo delle postazioni, monitoraggio degli strumenti amministrativi e cultura interna.
In pratica, la domanda giusta non è più soltanto “abbiamo un antivirus?”, ma anche: sappiamo esattamente quali software remoti possono operare sui nostri PC e chi li sta usando?
Domande frequenti
Un software RMM è sempre pericoloso?
No. Gli strumenti RMM sono utili e spesso indispensabili per assistenza e gestione IT. Diventano pericolosi quando vengono installati senza autorizzazione o registrati su account controllati da terzi.
Come si riconosce una finta pagina di aggiornamento Teams?
Bisogna diffidare di aggiornamenti richiesti dopo un clic su email o documenti condivisi, soprattutto se avvengono su domini insoliti o fuori dai canali ufficiali Microsoft e aziendali.
Se l’utente ha cliccato, cosa conviene fare subito?
Isolare il PC dalla rete, avvisare immediatamente il referente IT, verificare la presenza di agenti remoti installati di recente e controllare eventuali attività amministrative anomale sul sistema.