Una campagna di phishing attiva e diffusa sta prendendo di mira gli account Microsoft 365 con una tecnica più insidiosa del solito: non punta solo a rubare password, ma a intercettare anche le sessioni di accesso e i codici MFA per entrare nelle caselle email aziendali. L’obiettivo, secondo i ricercatori, è individuare chi gestisce stipendi, pagamenti e processi finanziari, per raccogliere messaggi sensibili e preparare possibili frodi.
Per un’azienda questo tema riguarda direttamente continuità operativa, riservatezza e rischio economico. Anche senza un ransomware o un blocco dei sistemi, un account email compromesso in amministrazione, HR o finanza può diventare il punto di partenza per deviazioni di bonifici, alterazioni dei flussi approvativi o furti di informazioni strategiche.
Che cosa è successo
Il 7 agosto 2026 The Hacker News ha riportato un’analisi di Arctic Wolf Labs su una campagna di phishing “email-driven” rivolta a Microsoft 365. I ricercatori la descrivono come attiva e su larga scala. Nel mese precedente sarebbero state prese di mira centinaia di organizzazioni, con intrusioni riuscite in ambienti molto diversi.
I settori coinvolti comprendono sanità, istruzione, manifattura, pubblica amministrazione e servizi professionali, con impatti osservati negli Stati Uniti, in Canada e in Europa. Questo punto è importante: non si tratta di un fenomeno locale né limitato a grandi gruppi internazionali. Le tecniche usate sono perfettamente applicabili anche contro PMI e studi professionali che usano Microsoft 365 come piattaforma standard per posta, documenti e autenticazione.
Secondo i ricercatori, la campagna presenta sovrapposizioni tattiche con gli attacchi noti come “Payroll Pirate”, collegati da Microsoft al cluster Storm-2755. In questo tipo di operazioni il fine economico è chiaro: compromettere account di dipendenti e usare le informazioni raccolte per reindirizzare pagamenti o stipendi verso conti controllati dagli attaccanti. Alcuni elementi simili sarebbero stati osservati già dall’inizio del 2025, in relazione a una minaccia tracciata da Microsoft come Storm-2657.
Perché questa campagna è diversa dal phishing tradizionale
Molti utenti pensano al phishing come a una falsa pagina di login che ruba username e password. Qui il livello è più avanzato. La tecnica usata è AitM, cioè “adversary-in-the-middle”: l’attaccante si inserisce in mezzo al processo di autenticazione e fa da tramite tra l’utente e il servizio legittimo.
In pratica la vittima crede di accedere a Microsoft 365, ma in realtà sta passando da un’infrastruttura controllata dal criminale. Questo consente di catturare non solo le credenziali, ma anche i codici di autenticazione a più fattori e, soprattutto, la sessione autenticata. È il motivo per cui anche aziende che hanno attivato l’MFA non possono considerarsi automaticamente protette da questo tipo di attacco.
Il risultato è che l’aggressore non ha sempre bisogno di cambiare password o modificare l’account per restare dentro. Può limitarsi a mantenere viva la sessione e leggere le email più interessanti senza generare i segnali classici che spesso fanno scattare gli allarmi.
Come funziona l’attacco in pratica
La catena descritta da Arctic Wolf parte da email di phishing a tema segreteria telefonica o messaggi vocali, un pretesto molto credibile perché spinge l’utente ad aprire rapidamente il link per ascoltare un presunto contenuto urgente.
Da lì la vittima viene guidata attraverso sei passaggi di reindirizzamento. Un aspetto rilevante è l’uso di servizi legittimi e affidabili come Google, Google Meet, Google Ads e Amazon S3. Non perché questi servizi siano compromessi, ma perché vengono sfruttati come passaggi intermedi per rendere il link più credibile e aggirare filtri basati sulla reputazione del dominio.
Il flusso osservato dai ricercatori inizia con un URL di reindirizzamento di Google Meet, prosegue attraverso l’infrastruttura di link in uscita di Google, passa da un tracker dinamico di Campaign Manager e arriva a una pagina HTML ospitata in un bucket Amazon S3. Da qui l’utente viene reindirizzato all’infrastruttura di phishing AitM.
Le pagine fraudolente raccolgono inoltre diversi dati sul dispositivo e sul browser della vittima tramite JavaScript: browser, sistema operativo, dimensioni dello schermo, lingua, fuso orario, capacità relative ai cookie, stato WebDriver, informazioni WebGL e disponibilità di alcune API del browser. Viene anche interrogata un’API di geolocalizzazione per determinare il Paese del visitatore.
Questo dettaglio non è secondario. Secondo i test riportati, i successivi accessi malevoli comparivano nel giro di pochi minuti da nodi di proxy residenziali nel medesimo Paese della vittima. In altre parole, gli attaccanti sembrano usare l’informazione geografica per far apparire l’accesso come “normale”, riducendo la probabilità che i controlli di sicurezza lo segnalino come anomalo.
Cosa cercano davvero gli attaccanti
Una volta ottenuto l’accesso, l’obiettivo principale non sembra essere il sabotaggio immediato, ma la raccolta selettiva di informazioni. I ricercatori indicano che gli attori malevoli hanno usato Microsoft Graph API per individuare utenti del tenant collegati a paghe, HR, finanza e funzioni amministrative.
Successivamente avrebbero cercato e consultato messaggi relativi a stipendi, fatture, pagamenti, coordinate bancarie, benefit e documenti interni. Questo comportamento è coerente con le frodi di tipo BEC, nelle quali l’email aziendale compromessa viene usata per studiare processi, ruoli, linguaggio e tempi decisionali prima di tentare la monetizzazione.
Il punto più interessante, e pericoloso, è che nella maggior parte dei casi osservati gli attaccanti non hanno eseguito azioni vistose: niente modifica dei metodi MFA, nessuna registrazione di nuovi dispositivi, nessun cambio credenziali, nessuna campagna di phishing interna, nessuna regola massiva nella casella di posta. Hanno preferito session maintenance, ricognizione e raccolta delle email.
Questa prudenza rende l’attacco più difficile da individuare. Se nessuno cambia password, se l’utente continua a lavorare normalmente e se non partono email sospette dall’account, il problema può restare invisibile per giorni.
In alcuni casi, però, è stata osservata attività manuale per creare regole che spostavano determinati messaggi dalla Posta in arrivo agli Elementi eliminati, marcandoli come letti. È un trucco semplice ma efficace per nascondere email sensibili, come notifiche di pagamenti o comunicazioni che potrebbero mettere in allarme l’utente.
I segnali tecnici che meritano attenzione
L’analisi segnala alcuni indicatori utili anche per chi gestisce l’IT aziendale o si appoggia a un fornitore esterno.
Un primo elemento è la comparsa di accessi da proxy residenziali a rotazione. Un secondo è la ricorrenza di sign-in a intervalli regolari, circa ogni otto ore, con lo stesso SessionID ma indirizzi IP, ASN e località differenti. Questo fa pensare a un’infrastruttura centralizzata che rinnova automaticamente le sessioni compromesse.
Un altro dettaglio anomalo riguarda la telemetria del client: alcuni accessi riportavano combinazioni improbabili tra browser e sistema operativo, per esempio versioni mobili di Safari o Chrome su Windows 10. Inoltre, gli eventi ricorrenti risultavano associati a Microsoft Outlook come applicazione client, ma con user agent inattesi come Firefox 131.0, Firefox 151.0 o persino Python Requests, anziché il più prevedibile Edge.
Per una PMI questi aspetti possono sembrare troppo tecnici, ma hanno una traduzione molto pratica: serve monitoraggio serio degli accessi cloud, non solo antivirus sul PC. La difesa oggi passa sempre di più dalla visibilità sugli account, sulle sessioni e sui comportamenti anomali in Microsoft 365.
Cosa significa per la tua azienda
La prima lezione è che l’MFA da solo non basta. È indispensabile, ma non è sufficiente contro il phishing AitM. Occorre affiancarlo a misure che riducano il rischio di furto di sessione e migliorino il rilevamento degli accessi anomali.
La seconda è che le funzioni amministrative e HR devono essere considerate ad alta criticità, esattamente come il server o il gestionale. Le loro caselle email contengono dati personali, informazioni finanziarie e dettagli operativi che possono trasformarsi in una perdita economica concreta.
Ecco le priorità operative per una PMI italiana:
- rivedere i criteri di accesso a Microsoft 365, con attenzione a login anomali, sessioni persistenti e localizzazioni incoerenti;
- addestrare il personale a riconoscere email a tema voicemail, documenti condivisi e richieste che portano a pagine di accesso non perfettamente coerenti;
- proteggere in modo particolare i gruppi amministrazione, HR, payroll, tesoreria e direzione;
- attivare controlli su regole di posta create automaticamente, spostamenti sospetti verso “Eliminati” e accessi via client o user agent insoliti;
- verificare quali integrazioni e permessi API sono in uso nel tenant Microsoft 365;
- definire una procedura interna per confermare qualsiasi variazione di IBAN, stipendi, coordinate di pagamento o richieste urgenti legate a fatture;
- prevedere copie di sicurezza affidabili dei dati critici, perché nelle compromissioni cloud la disponibilità e il recupero delle informazioni restano essenziali anche quando il problema nasce dall’account e non dal server. Su questo può essere utile una soluzione di remote backup.
Dal punto di vista organizzativo, conviene inoltre verificare se il proprio fornitore IT sta monitorando davvero gli ambienti Microsoft 365 con continuità. Un servizio di sicurezza informatica e una gestione strutturata delle postazioni e degli account tramite desktop IT management possono fare la differenza tra un incidente contenuto e una frode scoperta troppo tardi.
Infine, non va sottovalutato il tema privacy. Se un account contiene dati di dipendenti, buste paga, coordinate bancarie o informazioni HR, una compromissione può avere implicazioni anche sul fronte della protezione dei dati e delle procedure interne di risposta agli incidenti.
Come ridurre subito il rischio
Se oggi in azienda usate Microsoft 365, ci sono alcune verifiche che ha senso fare subito, anche senza aspettare un progetto complesso.
Controllate gli ultimi accessi degli utenti più sensibili. Verificate se compaiono località insolite, ripetizioni cicliche, browser non coerenti con i dispositivi in uso o sessioni mantenute per periodi anomali. Chiedete poi ai responsabili amministrativi e HR se hanno ricevuto messaggi recenti su finti vocali, file condivisi o notifiche di login.
È utile anche riesaminare i processi di approvazione dei pagamenti: se un attaccante legge la posta per qualche giorno, può capire chi autorizza cosa, quando e con quale linguaggio. Un semplice doppio controllo telefonico o su canale separato per bonifici, stipendi e variazioni di coordinate può bloccare molte frodi.
Infine, fate in modo che chi gestisce l’IT abbia un piano chiaro per isolare rapidamente un account sospetto, revocare le sessioni attive, verificare le regole della posta e analizzare cosa è stato consultato. La velocità di risposta, in questi casi, vale quasi quanto la prevenzione.
Domande frequenti
Se abbiamo l’autenticazione a due fattori siamo al sicuro?
No, non completamente. In questa campagna il phishing AitM punta proprio a intercettare anche il flusso MFA e la sessione autenticata.
Chi è più esposto in azienda?
Soprattutto amministrazione, HR, payroll, finanza, direzione e chi approva pagamenti o gestisce dati sensibili via email.
Qual è il danno più probabile?
Non solo il furto dell’account, ma la lettura silenziosa delle email per preparare frodi su stipendi, fatture, pagamenti e coordinate bancarie.