Passkey e autenticazione multifattore stanno rendendo più difficile rubare password e codici di accesso. Per questo gli attaccanti stanno spostando il bersaglio: non cercano più solo di entrare, ma di ottenere autorizzazioni valide dopo il login, sottraendo token OAuth o inducendo l’utente ad approvare accessi apparentemente legittimi. Per un’azienda questo significa una cosa semplice: anche se hai rafforzato l’autenticazione, un account può comunque essere compromesso.
La notizia conta perché colpisce un punto spesso trascurato nelle difese aziendali: i flussi di autorizzazione delle applicazioni cloud. In pratica, l’utente si autentica correttamente, ma poi concede senza accorgersene un accesso che permette al criminale di operare come se fosse un’app affidabile o un dispositivo autorizzato.
Che cos’è l’authorization phishing
Secondo l’analisi pubblicata da Cyber Security 360 il 12 ottobre 2026, l’“authorization phishing” è una categoria di attacchi che compromette identità e account non durante l’autenticazione, ma subito dopo. È un passaggio importante: il punto debole non è più necessariamente la password, né il codice MFA, ma il consenso o il flusso di autorizzazione che dà accesso a servizi, dati e API.
Questo cambio di tattica è una conseguenza diretta della diffusione di MFA e passkey. Quando le aziende alzano il livello di protezione sull’accesso, i criminali cercano vie alternative. In questo caso sfruttano i meccanismi che permettono alle applicazioni di collegarsi agli account aziendali in modo legittimo, spesso tramite OAuth.
Il problema è che molti controlli interni, molte policy e perfino molta formazione al personale continuano a essere concentrati quasi esclusivamente sul momento del login: non inserire la password su siti sospetti, non comunicare codici temporanei, non approvare notifiche inattese. Tutto corretto, ma non sufficiente se l’attacco avviene un minuto dopo, quando all’utente viene chiesto di autorizzare qualcosa che sembra plausibile.
Perché passkey e MFA non fermano questo tipo di attacco
Passkey e MFA restano strumenti eccellenti e vanno adottati. Ridurre il rischio di furto credenziali è fondamentale. Tuttavia non bisogna considerarli una soluzione totale.
Nel phishing tradizionale l’obiettivo era convincere la vittima a consegnare username, password o codici di verifica. Nell’authorization phishing, invece, l’utente può anche autenticarsi sul vero servizio e superare tutti i controlli previsti. L’azione dannosa arriva dopo: approvare un consenso, completare un flusso OAuth, abilitare un dispositivo, concedere un token che dà accesso a risorse aziendali.
In altre parole, la robustezza dell’autenticazione non impedisce automaticamente l’abuso dell’autorizzazione. È qui che molte organizzazioni scoprono di avere un’area meno sorvegliata rispetto al perimetro di accesso.
Le tecniche oggi più rilevanti
La fonte distingue tre varianti principali di questo scenario di attacco.
Consent phishing tradizionale
È la forma più nota. L’attaccante registra un’applicazione di terze parti e convince la vittima ad autorizzarla ad accedere al proprio account. Se l’utente approva, l’app malevola ottiene permessi via API, in alcuni casi persistenti.
Secondo l’articolo, questa tecnica oggi è meno frequente rispetto al passato perché diversi provider cloud hanno introdotto controlli che limitano la possibilità, per utenti non amministratori, di approvare applicazioni esterne non verificate. Quindi il rischio non è sparito, ma l’operazione è diventata più costosa per chi attacca.
Device code phishing
È la variante indicata come in forte crescita. Sfrutta il device code flow di OAuth, nato per consentire l’accesso da dispositivi con input limitato, come smart TV o sistemi per sale riunioni, ma ormai usato anche in strumenti per sviluppatori, interfacce a riga di comando e ambienti di sviluppo.
Perché funziona così bene? Perché il flusso può apparire del tutto normale. Alla vittima viene chiesto di inserire un codice o completare un’autorizzazione su una pagina legittima. Da un punto di vista visivo, l’utente può trovarsi davanti a schermate autentiche del provider. Questo abbassa la soglia di allarme: non c’è per forza un sito falso, non c’è per forza una password rubata, ma c’è comunque un’autorizzazione concessa all’attaccante.
Consent fix
La terza tecnica citata è il “consent fix”, descritta come particolarmente sofisticata. Anche qui il fulcro è l’abuso del processo di autorizzazione, ma con modalità più insidiose e meno evidenti per la vittima. Il punto chiave, per chi gestisce un’azienda, è che questi attacchi non assomigliano al phishing classico che il personale ha imparato a riconoscere negli ultimi anni.
Perché il rischio è concreto anche nelle PMI
Molte piccole e medie imprese pensano di non essere bersagli interessanti per attacchi avanzati. In realtà, proprio gli ambienti Microsoft 365, Google Workspace e le piattaforme cloud diffuse nelle PMI sono il contesto ideale per questo tipo di campagne: uso quotidiano, tanti utenti non tecnici, applicazioni collegate, accesso remoto, strumenti di produttività e automazione.
Se un attaccante ottiene un token o un’autorizzazione valida, può muoversi con meno attrito rispetto a un furto di password tradizionale. Può leggere posta, accedere a file, sfruttare integrazioni, cercare dati sensibili e, in alcuni casi, mantenere accessi che non vengono intercettati subito dai controlli più comuni.
Il rischio operativo non riguarda solo la sicurezza IT. Ci sono impatti concreti su continuità del lavoro, riservatezza di documenti commerciali, dati dei clienti, credenziali di fornitori, caselle PEC, flussi amministrativi e potenziali obblighi di gestione incidente e tutela dei dati personali.
Dove le aziende sono più scoperte
L’articolo segnala un punto che vale per molte organizzazioni: gli investimenti difensivi sono sbilanciati sull’autenticazione, mentre i processi di autorizzazione delle app ricevono meno attenzione.
In pratica, le aree spesso deboli sono:
- permessi concessi alle applicazioni poco monitorati;
- politiche di accesso condizionato non mappate in modo completo;
- utenti formati a riconoscere il furto password, ma non richieste di consenso anomale;
- visibilità limitata su token, sessioni e connessioni applicative;
- mancata correlazione tra segnali del browser, del provider cloud e degli strumenti di detection.
È per questo che oggi non basta dire “abbiamo l’MFA attivo”. Bisogna chiedersi anche: chi può autorizzare cosa, in quali condizioni, con quale controllo e con quale tracciamento?
Cosa significa per la tua azienda
Per una PMI italiana la risposta non deve essere teorica, ma operativa. Ecco le priorità più utili.
Primo: rivedi chi può autorizzare applicazioni e integrazioni. Se gli utenti possono concedere liberamente accessi a strumenti esterni, il rischio cresce. Serve una policy chiara su quali app sono ammesse, come vengono approvate e da chi.
Secondo: aggiorna la formazione del personale. I classici corsi anti-phishing vanno integrati con esempi reali di richieste di consenso, login da dispositivo, codici di associazione e schermate di autorizzazione. Il messaggio da passare è semplice: non tutto il phishing chiede una password.
Terzo: controlla i log e la visibilità sui flussi OAuth. È importante sapere quali applicazioni hanno accesso agli account, quali autorizzazioni sono state concesse e quando. Senza monitoraggio, il problema può passare inosservato per settimane.
Quarto: verifica le policy di accesso condizionato e il ciclo di vita delle autorizzazioni. Le configurazioni vanno mappate e riesaminate periodicamente, soprattutto dopo cambiamenti organizzativi, nuovi strumenti cloud o onboarding di fornitori.
Quinto: prepara il piano di risposta. Se sospetti un authorization phishing, non basta cambiare la password. Potrebbe essere necessario revocare token, terminare sessioni, rimuovere consensi applicativi, analizzare la posta e verificare eventuali accessi laterali.
Sesto: rafforza il presidio dell’endpoint e del browser, perché molte evidenze passano da lì. La fonte richiama l’utilità di browser EDR integrati con SIEM/EDR e di attività di purple teaming per testare in modo realistico le difese.
Per molte aziende conviene trasformare questi controlli in un processo continuativo, non in una verifica una tantum. Un supporto strutturato di sicurezza informatica e di desktop IT management aiuta a mantenere nel tempo policy, monitoraggio e aggiornamento degli endpoint. E poiché un incidente può comunque accadere, resta essenziale anche una strategia affidabile di remote backup per proteggere continuità operativa e recupero dei dati.
Come dovrebbe cambiare la formazione interna
Un errore comune è continuare a simulare solo email che chiedono credenziali. Oggi bisogna allenare le persone a riconoscere anche scenari diversi:
- richieste di collegare un dispositivo o inserire un codice su una pagina ufficiale;
- prompt di consenso a un’app non attesa;
- autorizzazioni arrivate durante attività amministrative o tecniche apparentemente normali;
- messaggi urgenti che invitano a completare una procedura “di accesso” che in realtà concede permessi.
Per i ruoli più esposti, come amministrazione, direzione, commerciale e IT interno, servono esempi pratici riferiti agli strumenti realmente usati in azienda. Una formazione efficace non si limita a “fare attenzione”, ma spiega quali azioni non vanno approvate e a chi segnalare un dubbio prima di cliccare.
Il punto chiave: spostare l’attenzione dal login al consenso
Il valore dell’analisi di oggi è soprattutto strategico. Mostra che la sicurezza moderna non può fermarsi all’idea di accesso protetto. Le organizzazioni devono presidiare anche tutto ciò che succede immediatamente dopo il login: autorizzazioni, sessioni, token, applicazioni collegate, identità federate.
Per le aziende questo significa evolvere sia la tecnologia sia le procedure interne. Le passkey e l’MFA restano pilastri indispensabili, ma vanno affiancati da governance delle autorizzazioni, monitoraggio continuo e formazione aggiornata ai nuovi schemi di inganno.
Domande frequenti
Le passkey rendono inutile il phishing?
No. Riducono molto il furto di credenziali, ma non impediscono attacchi che puntano a ottenere autorizzazioni o token dopo un login legittimo.
Se cambio password dopo un sospetto attacco, sono al sicuro?
Non sempre. Se l’attaccante ha ottenuto un token OAuth o un consenso applicativo, può essere necessario revocare accessi, sessioni e autorizzazioni oltre a cambiare la password.
Questo rischio riguarda anche una piccola azienda?
Sì. Se usi servizi cloud, posta aziendale, suite collaborative o applicazioni collegate agli account, il rischio esiste anche in una PMI.