Microsoft ha segnalato due campagne distinte ma molto attuali: una frode via email su larga scala che prende di mira gli uffici amministrativi e un attacco più sofisticato che usa il tema delle passkey per rubare l’accesso agli account cloud. Il punto chiave per le aziende è semplice: anche strumenti considerati moderni e sicuri, come MFA e passkey, possono essere aggirati se l’utente viene convinto ad agire su un sito falso o a concedere accesso all’attaccante.
Per una PMI italiana il rischio non è teorico. Le conseguenze possono andare da bonifici fraudolenti alla sottrazione di email, file SharePoint e documenti OneDrive, con impatti economici, operativi e privacy immediati.
Cosa ha rilevato Microsoft
Secondo quanto comunicato da Microsoft e ripreso il 13 settembre 2026, i ricercatori hanno osservato due filoni di attività malevole.
Il primo riguarda una campagna di frode finanziaria via email. Tra il 3 e il 5 agosto 2026 sono stati inviati oltre un milione di messaggi che imitavano amministratori delegati di aziende bersaglio. L’obiettivo era convincere i reparti contabilità o accounts payable ad avviare trasferimenti ACH per un presunto abbonamento annuale a ServiceNow.
Il secondo filone, attivo almeno da maggio 2026, riguarda compromissioni di account cloud Microsoft ottenute con ingegneria sociale a tema passkey. In questi casi gli attaccanti puntano a entrare negli account, aggiungere propri metodi di autenticazione e poi scaricare grandi quantità di dati tramite Microsoft Graph, SharePoint, OneDrive e raccolta delle caselle email via API REST.
In altre parole, non si tratta solo di “rubare una password”: il bersaglio è il patrimonio informativo aziendale nel cloud.
Come funziona la frode finanziaria via email
La prima campagna non si limita alla classica falsa fattura. Microsoft descrive una messinscena più credibile e più difficile da smascherare a colpo d’occhio.
Gli attaccanti registrano domini che imitano marchi o fornitori, inviano richieste di pagamento sfruttando infrastrutture email di terze parti considerate affidabili, allegano fatture false e costruiscono persino finte conversazioni email di supporto. Nei messaggi compaiono nomi e firme di figure reali dell’azienda bersaglio, come CEO, CFO o presidenti, per abbassare il livello di sospetto.
Microsoft ritiene inoltre che in questa campagna sia stata usata l’intelligenza artificiale generativa per creare modelli di email e testi adattati ai destinatari. Questo rende i messaggi più fluidi, meno grossolani e spesso più convincenti rispetto al phishing tradizionale.
L’aspetto importante per un’azienda è che la difesa non può basarsi solo sul filtro antispam. Se il processo interno consente di autorizzare pagamenti urgenti sulla base di un’email apparentemente plausibile, il rischio resta alto.
Perché il phishing “a tema passkey” è particolarmente insidioso
Le passkey sono nate per migliorare la sicurezza e ridurre la dipendenza dalle password. Tuttavia, se un criminale convince l’utente a interagire con un falso processo di aggiornamento o attivazione, il problema non è più la robustezza della credenziale, ma la manipolazione della persona.
Nella campagna descritta da Microsoft, l’attacco parte spesso da una telefonata o da un messaggio al numero personale del dipendente. Il chiamante si presenta come help desk IT dell’azienda e sostiene che sia necessario aggiornare con urgenza passkey, MFA o configurazione SSO per evitare interruzioni di accesso.
Successivamente la vittima viene indirizzata, spesso via SMS sul proprio telefono, verso siti contraffatti che imitano la schermata di accesso Microsoft. A quel punto l’attaccante cerca di ottenere il controllo dell’account in due modi:
- intercettando credenziali o sessioni tramite tecniche di adversary-in-the-middle;
- inducendo l’utente a completare flussi di autenticazione o autorizzazione, come il device code, che di fatto concedono l’accesso al criminale.
Una volta entrati, i soggetti malevoli possono registrare propri metodi di autenticazione, consolidare la persistenza e iniziare l’estrazione sistematica dei dati.
I segnali operativi osservati negli account compromessi
Microsoft segnala alcuni comportamenti tipici dopo l’accesso iniziale. Sono indicatori preziosi per chi gestisce Microsoft 365 o si affida a un fornitore esterno:
- accessi sospetti seguiti dall’aggiunta di nuovi metodi di autenticazione;
- attività elevata su Microsoft Graph;
- download massivi da SharePoint e OneDrive;
- raccolta di email tramite API REST;
- uso di infrastrutture associate a proxy o comunque non coerenti con il profilo abituale dell’utente.
Questi segnali mostrano un cambio di scenario: l’obiettivo non è solo mandare un’email da un account compromesso, ma automatizzare la raccolta di informazioni utili per estorsione, frode, spionaggio aziendale o attacchi successivi.
Il ruolo della ricerca preliminare sugli utenti
Uno degli aspetti più interessanti emersi dall’analisi Microsoft è l’investimento nella fase di preparazione. Gli attaccanti sembrano raccogliere informazioni pubbliche su dipendenti, ruoli e struttura organizzativa da social network e piattaforme professionali.
Questo spiega perché le chiamate risultano credibili: conoscono nomi, uffici, relazioni gerarchiche e spesso anche il lessico corretto da usare. In alcuni casi, aggiunge Microsoft, l’attacco si espande sfruttando account già compromessi per inviare messaggi simili anche tramite Microsoft Teams.
Per un’impresa questo significa che la superficie di attacco non coincide solo con l’infrastruttura IT, ma anche con l’esposizione pubblica delle informazioni organizzative.
Perché questa notizia riguarda anche le PMI italiane
È facile pensare che campagne del genere colpiscano solo grandi gruppi statunitensi. Sarebbe un errore. Le tecniche descritte sono perfettamente trasferibili a qualsiasi contesto in cui esistano:
- strumenti cloud diffusi, come Microsoft 365;
- reparti amministrativi autorizzati a pagare fornitori;
- dipendenti raggiungibili sul telefono personale;
- processi di autenticazione che l’utente non comprende fino in fondo.
In una PMI, anzi, il rischio può essere più alto perché ruoli e responsabilità sono spesso concentrati in poche persone, i tempi sono stretti e l’IT interno può non avere risorse per monitorare gli indicatori di compromissione in tempo reale.
Cosa significa per la tua azienda
La prima misura pratica è distinguere chiaramente tra comunicazioni IT legittime e richieste sospette. Nessun dipendente dovrebbe aggiornare passkey, MFA o SSO seguendo un link ricevuto via SMS, Teams o telefono, nemmeno se il messaggio sembra arrivare dall’help desk.
La seconda è rafforzare i processi amministrativi. Un pagamento straordinario, urgente o fuori procedura non deve mai essere autorizzato solo su base email. Serve una verifica su un canale indipendente: telefonata a un numero noto, conferma interna, controllo del contratto e del fornitore.
La terza è tecnica: va monitorato cosa accade negli account Microsoft 365 dopo l’accesso. L’aggiunta di nuovi metodi MFA, i download anomali e l’uso inconsueto di Graph o API devono generare allarmi e revisione immediata. Qui può essere utile una revisione complessiva della postura di sicurezza informatica.
La quarta riguarda la resilienza. Se un account viene compromesso e i dati vengono cancellati o cifrati, avere copie affidabili e separate resta fondamentale. Per questo conviene verificare le proprie soluzioni di remote backup, soprattutto per file e dati operativi critici.
La quinta è organizzativa: formalizzare procedure di gestione delle postazioni, degli accessi e delle richieste di supporto. Nelle aziende dove utenti, device e identità sono amministrati in modo uniforme, è più semplice riconoscere ciò che esce dallo standard. In questo senso un servizio di desktop IT management può ridurre l’improvvisazione che gli attaccanti sfruttano.
In sintesi, per una PMI le priorità operative sono cinque:
- vietare aggiornamenti di passkey o MFA tramite link ricevuti fuori dai portali ufficiali;
- imporre doppia verifica per pagamenti anomali o urgenti;
- sorvegliare aggiunta di metodi di autenticazione e attività cloud insolite;
- fare formazione mirata su vishing, SMS phishing e false richieste dell’help desk;
- preparare un piano di risposta rapido per blocco account, revoca sessioni e verifica dei dati scaricati.
Come riconoscere un tentativo sospetto
Alcuni segnali ricorrono in entrambe le campagne.
Il primo è l’urgenza: “fallo subito o perderai l’accesso”, “serve pagare oggi”, “il CEO ha già approvato”. Quando la pressione sui tempi aumenta, bisogna rallentare, non accelerare.
Il secondo è il cambio di canale. Un presunto help desk che scrive sul numero personale e manda link via SMS invece di usare i canali aziendali è un campanello d’allarme. Lo stesso vale per richieste amministrative che arrivano con domini leggermente diversi da quelli abituali.
Il terzo è la richiesta di compiere azioni poco familiari: inserire codici, approvare sessioni inattese, registrare nuovi metodi di accesso, autorizzare applicazioni o scaricare documenti di supporto a una fattura inconsueta.
Domande frequenti
Le passkey non erano più sicure delle password?
Sì, ma non eliminano il rischio di ingegneria sociale. Se l’utente viene convinto a concedere accesso su un sito falso o in un flusso manipolato, il problema è umano e procedurale, non solo tecnologico.
Basta avere l’MFA attivo per essere protetti?
No. In questi attacchi proprio MFA, SSO e passkey vengono usati come pretesto. Serve anche controllo dei flussi di accesso, formazione degli utenti e verifica delle modifiche ai metodi di autenticazione.
Cosa fare se sospetto un account Microsoft 365 compromesso?
Bloccare subito l’account, revocare le sessioni attive, controllare i metodi di autenticazione aggiunti, verificare download e attività su posta, OneDrive e SharePoint, poi avviare un’analisi completa dell’incidente.