Le campagne NovaCookies mostrano un salto di qualità nel phishing: usano notifiche DocuSign autentiche per accompagnare l’utente verso una falsa pagina di accesso Microsoft 365 e sottrarre la sessione già autenticata. In pratica, anche password e codice MFA possono non bastare se il browser consegna agli attaccanti il “pass” di accesso dopo il login.
Per un’azienda questo conta subito, perché l’attacco non punta solo a rubare credenziali: punta a entrare davvero nella casella email e negli strumenti cloud, con il rischio di frodi, furto di documenti, compromissione di account e attacchi successivi ai clienti o ai fornitori.
Che cos’è NovaCookies e perché preoccupa
Il 26 agosto 2026 The Hacker News ha riportato i dettagli di un nuovo toolkit di phishing di tipo adversary-in-the-middle, o AitM, chiamato NovaCookies. Secondo il report citato nell’articolo, il servizio viene offerto in abbonamento a 320 dollari al mese come piattaforma di phishing-as-a-service, cioè un servizio pronto all’uso che consente anche a criminali con competenze limitate di lanciare campagne su scala.
L’obiettivo principale è Microsoft 365, ma secondo quanto riportato da Proofpoint si tratterebbe di una variante del kit Sneaky 2FA, con flussi dedicati anche ad altri provider di identità, tra cui Okta e domini Entra federati a GoDaddy. Questo è un segnale importante: non siamo davanti a un attacco artigianale contro un singolo bersaglio, ma a una piattaforma commerciale pensata per colpire più ambienti aziendali.
Le campagne osservate hanno preso di mira centinaia di organizzazioni in vari settori negli Stati Uniti, nel Regno Unito, in Canada, Germania, Israele ed Emirati Arabi Uniti. Anche se nelle fonti non si citano aziende italiane, il meccanismo è perfettamente replicabile in qualsiasi organizzazione che usi Microsoft 365 e riceva documenti condivisi via email.
Come funziona l’attacco in pratica
Il punto forte di NovaCookies è che ogni passaggio, preso da solo, sembra plausibile. L’email può essere una vera notifica DocuSign. Il clic può passare da un endpoint legittimo di accesso Microsoft o Google come passaggio intermedio. La pagina finale imita l’accesso Microsoft 365. Nel browser dell’utente questi pezzi si uniscono in una catena credibile.
Lo schema, semplificato, è questo:
- l’utente riceve una notifica DocuSign autentica;
- il contenuto condiviso contiene un richiamo a un documento, ad esempio un PDF di rimessa o contabile;
- il link malevolo è inserito nel documento condiviso, in una posizione che può sfuggire ai controlli email più superficiali;
- dopo alcuni reindirizzamenti apparentemente legittimi, l’utente arriva a una pagina di login contraffatta;
- il toolkit si comporta da proxy in tempo reale tra vittima e Microsoft;
- l’utente inserisce password e MFA;
- gli attaccanti intercettano la sessione autenticata e possono riutilizzarla.
Questo passaggio è cruciale. Non si limitano a rubare la password: catturano i dati di sessione risultanti da un accesso andato a buon fine. Per questo i kit AitM sono così pericolosi. L’utente può aver fatto “tutto giusto” secondo la formazione tradizionale — password corretta, MFA approvato — ma se sta parlando con un intermediario ostile, la sessione può comunque essere sottratta.
Perché le email DocuSign autentiche cambiano il gioco
Una parte rilevante della campagna sta nell’abuso di notifiche DocuSign genuine. Questo consente di superare più facilmente alcuni controlli basati su reputazione del mittente o autenticazione del dominio, perché il messaggio iniziale non è falsificato nel senso classico del termine.
Il rischio per chi lavora in amministrazione, acquisti, direzione o uffici che scambiano documenti è evidente: una richiesta che parla di fatture, documenti condivisi o remittance advice è coerente con le attività quotidiane. Se in più il messaggio arriva da un servizio conosciuto, la soglia di sospetto si abbassa.
Secondo la fonte, alcuni domini usati come esca erano ospitati su estensioni .vu e gli URL includevano etichette con maiuscole e minuscole alternate per sembrare servizi Microsoft, ad esempio varianti come “share”, “access” o “view”. Sono dettagli tecnici, ma aiutano a capire una cosa pratica: l’utente non può essere lasciato solo a giudicare la bontà di un link a colpo d’occhio.
MFA non è inutile, ma da sola non basta
Una conclusione sbagliata sarebbe dire che l’autenticazione a più fattori non serve più. In realtà l’MFA resta essenziale e blocca moltissimi attacchi. Il problema è che i toolkit AitM sono progettati proprio per aggirarne l’efficacia quando l’utente interagisce con un accesso fasullo che inoltra tutto in tempo reale.
Per le aziende questo cambia la domanda da porsi. Non basta chiedersi “abbiamo attivato l’MFA?”. Bisogna chiedersi anche:
- come proteggiamo le sessioni già autenticate;
- come limitiamo il riuso dei token;
- come rileviamo accessi anomali subito dopo un login apparentemente legittimo;
- come isoliamo il browser e i flussi web più rischiosi.
Le stesse fonti sottolineano che NovaCookies include misure anti-analisi, come controlli per eludere scanner di sicurezza e un gate Cloudflare, segno che i criminali sanno come sottrarsi ai controlli automatici più comuni.
Il phishing-as-a-service sta diventando un mercato maturo
NovaCookies non è un caso isolato. L’articolo lo colloca in una tendenza più ampia: servizi criminali a sottoscrizione, con assistenza, gestione centralizzata dell’infrastruttura e distribuzione via canali come Telegram. È un’evoluzione importante, perché abbassa la barriera d’ingresso.
In altre parole, non serve più costruire da zero un’infrastruttura di phishing sofisticata. Si può “affittare” una piattaforma che fornisce pagine, reindirizzamenti, supporto e funzioni per aggirare i controlli. Per un’impresa questo significa che campagne credibili e tecnicamente avanzate possono diventare più frequenti, più economiche per gli attaccanti e quindi più diffuse.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio è molto concreto: se usi Microsoft 365, la difesa non può fermarsi alla password forte e al codice sul telefono. Servono misure organizzative e tecniche che riducano l’impatto anche quando un utente clicca.
Ecco le priorità pratiche:
1. Rivedi la formazione anti-phishing con esempi realistici
I corsi troppo generici servono a poco. Chi gestisce documenti, firme, pagamenti e amministrazione deve vedere simulazioni credibili: email DocuSign autentiche, richieste di condivisione documenti, reindirizzamenti apparentemente legittimi. La regola operativa deve essere semplice: per documenti contabili o sensibili, meglio aprire il servizio passando dal portale ufficiale, non dal link ricevuto.
2. Controlla le policy di accesso a Microsoft 365
È opportuno verificare accessi condizionali, restrizioni geografiche dove sensate, sessioni a rischio, richieste di nuova autenticazione e monitoraggio delle anomalie. L’obiettivo è rendere meno riutilizzabile una sessione rubata e aumentare la probabilità di intercettare comportamenti anomali.
3. Proteggi browser ed endpoint, non solo la posta
Questi attacchi si ricompongono nel browser. Se la sicurezza guarda solo il messaggio email, perde la visione d’insieme. Ha senso rafforzare la gestione delle postazioni e il controllo centralizzato dei dispositivi con servizi di desktop IT management, così da applicare policy coerenti su browser, estensioni, aggiornamenti e protezioni endpoint.
4. Prepara un piano di risposta agli account compromessi
Se un utente consegna una sessione, bisogna poter agire in fretta: revoca delle sessioni, reset credenziali, verifica regole inbox, controllo di inoltri sospetti, controllo accessi a SharePoint, OneDrive e Teams, comunicazione interna e verifica dei contatti eventualmente raggiunti dall’account compromesso.
5. Metti in sicurezza dati e continuità operativa
Se un account Microsoft 365 viene usato per cancellare o alterare documenti, il problema non è solo l’accesso ma anche il ripristino. Una strategia di remote backup aiuta a contenere i danni e a recuperare più rapidamente file e dati critici.
6. Tratta l’incidente anche come tema privacy
Se dalla casella email o dagli archivi cloud passano dati personali, clienti, dipendenti o documenti riservati, l’evento può avere rilievo organizzativo e normativo. In questi casi è utile coordinare la risposta tecnica con la valutazione degli obblighi previsti dal GDPR.
I segnali che non vanno sottovalutati
In azienda conviene far circolare alcuni indicatori semplici, senza trasformare tutti in analisti di sicurezza:
- email su documenti inattesi ma plausibili, soprattutto in area amministrativa;
- urgenza su fatture, rimesse, approvazioni o condivisioni documentali;
- pagine di login Microsoft aperte dopo più reindirizzamenti;
- richieste MFA non previste o che arrivano in un momento inconsueto;
- URL strani, con formattazioni bizzarre o domini poco familiari.
Nessuno di questi segnali, da solo, prova un attacco. Ma quando si combinano, il sospetto deve scattare.
Come impostare una difesa ragionevole per una PMI
Una PMI non ha bisogno di inseguire ogni novità con strumenti complessi. Deve però costruire una base solida:
- configurazione corretta di Microsoft 365;
- monitoraggio essenziale ma costante degli accessi;
- procedure chiare per documenti finanziari e richieste di pagamento;
- gestione centralizzata dei PC;
- backup verificati;
- referente interno o partner esterno da chiamare subito in caso di dubbio.
La differenza, in questi casi, non la fa il singolo prodotto miracoloso. La fa la velocità con cui l’azienda riconosce il problema, blocca la sessione compromessa e limita la propagazione.
Domande frequenti
Se abbiamo l’MFA attiva, siamo protetti?
No, non del tutto. L’MFA resta fondamentale, ma i kit AitM come NovaCookies possono intercettare la sessione autenticata se l’utente accede tramite una pagina controllata dagli attaccanti.
Come può un’email DocuSign essere pericolosa se è autentica?
Perché il messaggio iniziale può essere reale, mentre il contenuto condiviso o il link nel documento porta verso l’infrastruttura malevola. È questo il punto ingannevole della campagna.
Qual è la prima cosa da fare se un dipendente sospetta di aver inserito le credenziali?
Agire subito: revocare le sessioni attive, cambiare la password, verificare eventuali accessi anomali e controllare casella email, inoltri, file condivisi e attività recenti sull’account.