Le passkey restano uno strumento molto efficace contro il phishing, ma proprio la loro reputazione di tecnologia “sicura” sta diventando un’arma nelle mani degli attaccanti. Microsoft ha rilevato campagne attive almeno da maggio 2026 in cui falsi aggiornamenti di sicurezza, presunti interventi sull’MFA o sul Single Sign-On e messaggi attribuiti all’help desk aziendale portano alla compromissione delle identità cloud e all’accesso ai dati su Microsoft 365.
Per un’azienda il punto non è tecnico ma operativo: se viene compromesso un account, l’attaccante non cerca solo di entrare una volta. Cerca di restare, leggere documenti, accedere alle e-mail, esplorare OneDrive e SharePoint e trasformare un singolo errore umano in un incidente esteso.
Cosa è successo davvero
Secondo quanto riportato il 17 settembre 2026, Microsoft ha osservato una sequenza di attacco che sfrutta il tema delle passkey come leva di fiducia. La vittima viene contattata con una telefonata o con un messaggio, spesso sul numero personale, da qualcuno che si presenta come supporto IT. Il pretesto è plausibile: aggiornare una passkey, sistemare l’autenticazione multifattore, evitare un blocco di accesso o completare una modifica al sistema SSO.
A questo punto l’utente viene indirizzato verso un collegamento che imita l’autenticazione Microsoft. L’obiettivo non è necessariamente “rubare la passkey” in senso stretto. Più spesso il tema passkey serve a dare credibilità all’interazione e a spingere la persona a completare un flusso fraudolento.
Le tecniche descritte comprendono sia scenari di tipo Adversary-in-the-Middle, in cui l’attaccante intercetta credenziali o token di sessione, sia abusi del cosiddetto device code flow, dove l’utente finisce per autorizzare senza volerlo un client controllato dal criminale.
In altre parole: l’attacco non aggira magicamente la sicurezza delle passkey. Aggira la fiducia dell’utente.
Perché le passkey non bastano da sole
Negli ultimi anni le passkey sono state presentate, correttamente, come una risposta forte al problema delle password rubate e del phishing tradizionale. Il messaggio, però, rischia di essere interpretato male nelle aziende: “abbiamo attivato le passkey, quindi siamo al sicuro”.
La campagna osservata da Microsoft dimostra il contrario. Quando un criminale riesce a convincere una persona a seguire istruzioni false, il fattore decisivo non è la tecnologia usata per autenticarsi, ma il contesto creato con l’ingegneria sociale.
Se il dipendente crede davvero di stare parlando con il reparto IT, può:
- aprire un link malevolo;
- approvare una richiesta che non dovrebbe autorizzare;
- completare un accesso su una pagina contraffatta;
- legittimare un dispositivo o un’applicazione dell’attaccante.
Questo è un punto importante per imprenditori e responsabili d’ufficio: le difese moderne funzionano, ma non eliminano il rischio organizzativo. Lo spostano. Il bersaglio non è più solo la password: è l’identità digitale dell’utente e il processo con cui quell’identità viene gestita.
Dalla compromissione iniziale alla persistenza
L’aspetto più critico emerso nelle osservazioni di Microsoft è ciò che accade dopo il primo accesso. Gli attaccanti non si limitano a entrare nell’account per pochi minuti. Cercano di stabilizzare la loro presenza.
In alcuni casi vengono aggiunti nuovi metodi di autenticazione all’identità compromessa, per esempio un dispositivo associato a Microsoft Authenticator, un numero di telefono o un token software. Questo passaggio cambia la natura dell’incidente: non siamo più davanti a un semplice furto di credenziali, ma a una modifica dell’account che può consentire all’attaccante di rientrare anche successivamente.
Per l’azienda questo significa tempi di rilevazione più difficili e maggiore impatto. Anche se la vittima si accorge tardi di qualcosa di anomalo, il problema potrebbe non risolversi con un semplice cambio password.
Serve una verifica completa dei metodi di accesso, delle sessioni aperte, delle app autorizzate e delle configurazioni dell’identità.
Come viene usato Microsoft 365 dopo l’intrusione
Una volta consolidato l’accesso, l’attaccante passa alla ricognizione. Microsoft ha osservato l’uso di Microsoft Graph per capire rapidamente struttura, utenti, gruppi, applicazioni, permessi e risorse disponibili nell’ambiente compromesso.
Dal punto di vista criminale è una fase molto efficiente: partendo da un solo account si può mappare una parte significativa del tenant Microsoft 365, individuare contenuti di valore e capire dove conviene muoversi.
Poi arriva la raccolta dati. Le aree citate includono:
- SharePoint Online;
- OneDrive for Business;
- caselle Exchange, anche tramite accessi via API REST.
Un altro dettaglio da non sottovalutare è la gradualità. L’attività di ricerca e download può protrarsi per ore o giorni, mantenendo un ritmo abbastanza “normale” da non far scattare subito un allarme evidente. In pratica, un attacco ben condotto può somigliare a un normale uso dell’account.
Per questo la sola protezione perimetrale non è sufficiente. Serve visibilità sui comportamenti anomali legati alle identità, agli accessi cloud e ai volumi di consultazione dei dati.
Perché questa notizia riguarda anche le PMI
Molte piccole e medie imprese pensano di non essere un bersaglio prioritario. In realtà un ambiente Microsoft 365 contiene quasi sempre informazioni preziose: contratti, offerte commerciali, dati contabili, comunicazioni con clienti e fornitori, file HR, documentazione tecnica.
Per un attaccante, entrare in una casella e-mail o in un archivio SharePoint di una PMI può essere sufficiente per:
- sottrarre documenti riservati;
- preparare frodi via e-mail molto credibili;
- colpire clienti e fornitori impersonando l’azienda;
- mantenere un accesso discreto per settimane;
- creare i presupposti per estorsione, data breach o fermo operativo.
Il rischio aumenta quando l’IT interno è minimo, il supporto agli utenti è informale e non esiste una procedura chiara per distinguere un vero intervento del reparto tecnico da una truffa.
Cosa significa per la tua azienda
La prima decisione pratica è questa: non trattare le passkey come un progetto “fatto e chiuso”, ma come parte di una gestione continua dell’identità.
Ecco le azioni più utili per una PMI italiana.
1. Definisci una regola semplice per tutti i dipendenti
Il reparto IT, interno o esterno, non deve chiedere via telefono o messaggio di cliccare link per “aggiornare urgentemente” passkey, MFA o SSO. Se arriva una richiesta del genere, l’utente deve interrompere e verificare tramite un canale ufficiale.
2. Formalizza il processo di assistenza
Se la tua azienda usa supporto esterno o un piccolo team IT, stabilisci come vengono gestiti gli interventi: ticket, e-mail da domini noti, portale dedicato, orari, riferimenti precisi. Ridurre l’ambiguità riduce il successo del social engineering. In questo contesto può essere utile una gestione strutturata delle postazioni e degli account con servizi di desktop IT management.
3. Controlla i metodi di autenticazione registrati
Non basta vedere se l’utente “riesce ad accedere”. Occorre verificare periodicamente quali numeri di telefono, dispositivi e app di autenticazione risultano associati agli account, soprattutto per figure amministrative, direzione e personale commerciale.
4. Proteggi le identità privilegiate
Gli account amministrativi non dovrebbero essere usati per il lavoro quotidiano. Più si separano i ruoli, minore è il danno possibile se un utente cade in una trappola.
5. Monitora accessi e attività su Microsoft 365
Accessi da contesti anomali, aggiunta di nuovi fattori di autenticazione, consultazioni massive di SharePoint o OneDrive e autorizzazioni inconsuete ad applicazioni meritano attenzione immediata. Se manca un presidio interno, è il momento di rafforzare la sicurezza informatica con controlli specifici sugli ambienti cloud.
6. Prepara una risposta all’incidente orientata all’identità
Quando sospetti una compromissione, non limitarti al reset password. Revoca sessioni, verifica i metodi MFA registrati, controlla le applicazioni autorizzate e analizza i log di accesso e download.
7. Riduci l’impatto operativo con copie di sicurezza affidabili
Se un attacco si estende a file condivisi o contenuti aziendali, avere copie protette e recuperabili è essenziale. Per molte PMI ha senso affiancare ai servizi cloud un sistema di remote backup ben governato.
8. Forma il personale sui nuovi pretesti, non solo sui vecchi phishing
Oggi il messaggio “la password è scaduta” non è l’unico schema. Bisogna preparare gli utenti a riconoscere anche le false urgenze legate a passkey, MFA, autenticazioni mobili e accessi Microsoft 365.
Il vero cambiamento: la sicurezza ruota intorno all’identità
La lezione più importante di questa vicenda è che la sicurezza del cloud non coincide con la sicurezza del data center o del PC aziendale. Nell’uso quotidiano di Microsoft 365, l’identità dell’utente è diventata il perimetro.
Se un attaccante controlla l’identità, può spesso muoversi dentro strumenti perfettamente legittimi, con azioni che dall’esterno sembrano normali. Per questo oggi la protezione efficace nasce dall’insieme di tre elementi:
- autenticazione robusta;
- procedure operative chiare;
- monitoraggio continuo dei comportamenti anomali.
Le passkey sono un passo avanti importante, ma non sostituiscono governance, formazione e controllo. Anzi, proprio perché sono considerate affidabili, possono essere usate come argomento convincente nelle truffe più moderne.
Domande frequenti
Le passkey sono ancora sicure oppure no?
Sì, restano una tecnologia molto valida. Il problema descritto non è la debolezza intrinseca delle passkey, ma l’uso del loro “aggiornamento” come esca di social engineering.
Se uso Microsoft 365 con MFA sono protetto abbastanza?
Hai una base migliore, ma non una garanzia assoluta. Se l’utente autorizza un flusso fraudolento o l’attaccante aggiunge un proprio metodo di autenticazione, il rischio resta concreto.
Qual è il primo controllo da fare in azienda?
Verificare come il personale riconosce le vere richieste dell’IT e controllare gli account più sensibili: metodi di autenticazione registrati, sessioni attive, app autorizzate e accessi anomali.