Microsoft blocca tre kit phishing da 1 miliardo di messaggi

Microsoft, insieme a partner del settore e autorità giapponesi, ha interrotto l’operatività di tre kit di phishing collegati a oltre 1 miliardo di messaggi fraudolenti inviati nel 2026. La notizia riguarda da vicino anche le imprese italiane perché queste campagne prendevano di mira organizzazioni di ogni tipo, sfruttavano ambienti Microsoft 365 e usavano tecniche industrializzate, difficili da fermare con i soli strumenti di base.

Cosa è successo

Il 14 ottobre 2026 Microsoft ha annunciato un’operazione congiunta, supportata da Health-ISAC, dal Japan Cybercrime Control Center (JC3) e da aziende come Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs, per bloccare tre piattaforme di phishing note come CoGUI, Haozi e Iron Man System.

Secondo Microsoft, da gennaio 2026 gli attori dietro questi strumenti hanno facilitato l’invio di oltre 1 miliardo di email e SMS di phishing verso più di 75.000 organizzazioni in oltre 150 Paesi. Una parte rilevante dell’attività era diretta a utenti e organizzazioni che usano servizi Microsoft, tanto che BleepingComputer riporta oltre 750 milioni di messaggi malevoli rivolti specificamente a clienti Microsoft.

Non si tratta, quindi, di singole campagne isolate, ma di un vero ecosistema criminale capace di vendere strumenti, accessi, infrastrutture e servizi pronti all’uso ad altri truffatori.

Perché questa operazione è importante

La parte più significativa della vicenda non è solo il numero di messaggi inviati, ma il modello operativo emerso dalle indagini. Microsoft descrive una filiera strutturata in cui un marketplace clandestino, chiamato YAM Store e tracciato come Storm-3119, vendeva risorse necessarie per lanciare attacchi su larga scala.

Tra queste risorse figuravano:

• ambienti Microsoft o Google compromessi oppure ottenuti in modo fraudolento;
• account, licenze e spazio di archiviazione cloud;
• domini e identità aziendali usati per rendere credibili le truffe;
• kit di phishing pronti all’uso, identificati complessivamente come Storm-2990.

In pratica, un criminale non doveva costruire tutto da zero: poteva acquistare pacchetti già pronti, con pagine che imitavano marchi noti, infrastruttura cloud e pannelli di gestione per raccogliere credenziali e dati finanziari.

Questo abbassa la soglia d’ingresso per gli attaccanti e aumenta il volume degli attacchi contro aziende anche non particolarmente esposte o famose.

Come funzionavano i kit CoGUI, Haozi e Iron Man

I tre kit avevano capacità in parte sovrapposte, tanto che Microsoft parla di elementi comuni nell’infrastruttura e nello sviluppo. Questo suggerisce riuso di codice, collaborazione tra sviluppatori o una comune origine tecnica.

L’obiettivo restava sempre lo stesso: impersonare enti pubblici, istituti finanziari, corrieri, servizi digitali e brand molto riconoscibili per convincere la vittima a inserire credenziali, dati di pagamento o codici di autenticazione.

Le esche usate includevano, secondo le fonti:

• pedaggi o multe non pagate;
• problemi di consegna;
• richieste di verifica account;
• finte comunicazioni bancarie, fiscali o logistiche.

Uno degli aspetti più preoccupanti è il livello di maturità tecnica. Questi kit integravano misure per ostacolare le analisi di sicurezza, come:

• geofencing, per mostrare la trappola solo a utenti di certi Paesi;
• filtri IP, per nascondersi a ricercatori e sistemi automatici;
• finti CAPTCHA, per sembrare pagine legittime e rallentare il rilevamento.

Secondo Microsoft, Iron Man System aveva più di 2.335 template di phishing adattati a 139 Paesi. Resecurity parla invece di 2.360 pacchetti di phishing riferiti a brand di 130 Paesi o aree. In entrambi i casi il messaggio è chiaro: non si tratta di campagne artigianali, ma di un catalogo globale e continuamente aggiornato.

Il ruolo di Microsoft 365 e degli ambienti cloud compromessi

Un altro punto centrale è l’abuso di tenant e servizi cloud legittimi. Le indagini indicano che i criminali cercavano organizzazioni con ambienti attivi o recuperavano identità aziendali scadute per ottenere infrastrutture credibili.

Una volta dentro, potevano:

• gestire ambienti compromessi con pannelli amministrativi dedicati;
• assegnarsi permessi ampi tramite Microsoft Graph;
• abusare di SharePoint e OneDrive per ospitare contenuti delle campagne;
• rivendere account, licenze e spazio cloud ad altri attori criminali.

Questo dettaglio è importante per le aziende perché dimostra che il cloud non è solo il bersaglio finale: può diventare anche lo strumento con cui un attacco viene distribuito. Se una campagna parte da servizi noti e affidabili, per l’utente è più facile fidarsi e per i filtri automatici può essere più difficile bloccare tutto in tempo.

Da dove è partita l’indagine

L’operazione nasce da un’indagine avviata da Microsoft alla fine del 2025 dopo segnalazioni relative a campagne malevole contro persone in Giappone. Nel corso delle attività investigative è emerso un ecosistema di cybercrime in lingua cinese che ruotava intorno al marketplace YAM Store.

Le fonti ricordano anche che CoGUI era già stato osservato in campagne attive almeno da ottobre 2024 e che prendeva di mira soprattutto organizzazioni giapponesi impersonando marchi noti come Amazon, Apple, PayPay, Rakuten e altri brand consumer e finanziari.

Nel tempo, però, secondo TRM Labs e le altre realtà coinvolte, Iron Man System ha progressivamente preso il sopravvento nel corso del 2026, probabilmente grazie alla sua maggiore varietà di template e alle funzioni di evasione più evolute.

Cosa è stato bloccato davvero

L’azione non si è limitata a un annuncio pubblico. In base a un ordine del tribunale federale statunitense per il Distretto Sud della Florida, Microsoft e Health-ISAC hanno sequestrato e reindirizzato domini collegati a YAM Store, CoGUI e Iron Man.

Inoltre Microsoft ha dichiarato di aver:

• disattivato oltre 20.000 account associati a YAM Store;
• bloccato 100.000 domini usati per impersonificazione e frode.

Le fonti indicano che altre attività di rimozione dell’infrastruttura sono ancora in corso. È quindi un colpo importante, ma non la fine del problema: ecosistemi di questo tipo tendono a rigenerarsi, cambiare marchio, spostarsi su nuovi domini o riapparire con altri fornitori.

Perché le PMI non possono considerarsi fuori bersaglio

Quando si legge di oltre 75.000 organizzazioni colpite in più di 150 Paesi, è facile pensare che i bersagli principali siano solo grandi gruppi internazionali. In realtà questi numeri raccontano l’opposto: il phishing industrializzato colpisce chiunque possa offrire un accesso utile, un pagamento veloce o un account rivendibile.

Una PMI italiana è appetibile per diversi motivi:

• gestisce posta elettronica, documenti e credenziali su piattaforme cloud diffuse;
• spesso ha processi autorizzativi rapidi e poco formalizzati;
• può avere filiali, commercialisti, fornitori e consulenti che scambiano documenti via email;
• raramente dispone di un team interno dedicato al monitoraggio continuo.

In più, se l’attacco ruba l’accesso a una casella email o a Microsoft 365, il danno non si ferma alla singola utenza: può diventare un problema di frode ai fornitori, esfiltrazione di documenti, diffusione di ulteriori campagne e possibili conseguenze sulla protezione dei dati.

Cosa significa per la tua azienda

La lezione pratica è semplice: il phishing non è più solo una email scritta male, ma un servizio criminale professionale che sfrutta marchi credibili, infrastrutture cloud e tecniche per eludere i controlli. Per una PMI, questo richiede misure operative concrete.

Ecco le priorità più utili:

1. Rafforza l’accesso a Microsoft 365
   Verifica che tutti gli account usino autenticazione forte e che gli accessi anomali siano monitorati. Le campagne citate nelle fonti hanno puntato anche al furto di token e credenziali, quindi la sola password non basta.

2. Controlla permessi, app e integrazioni
   Non bisogna guardare solo agli utenti. Va controllato anche quali applicazioni hanno accesso ai dati aziendali, quali permessi sono stati concessi e se esistono configurazioni eccessive su SharePoint, OneDrive e Microsoft Graph.

3. Forma il personale su SMS e messaggi brevi, non solo sulle email
   L’operazione ha riguardato sia email sia SMS. Oggi molte truffe passano da avvisi di consegna, multe, account bloccati e richieste urgenti di verifica.

4. Predisponi backup affidabili dei dati critici
   Anche se questa notizia parla soprattutto di furto credenziali, ogni compromissione del tenant cloud può avere impatti sui documenti aziendali. Un piano di remote backup aiuta a ridurre tempi di fermo e danni operativi.

5. Definisci una gestione continuativa dei client e degli account
   Molti incidenti nascono da utenze dimenticate, postazioni non aggiornate o policy incoerenti. Un servizio di desktop IT management consente di mantenere ordine, aggiornamenti e controlli nel tempo.

6. Prepara una risposta agli incidenti, prima che serva
   Bisogna sapere in anticipo chi blocca gli account, chi verifica i log, chi avvisa i dipendenti e quando va fatta una valutazione privacy. In caso di dubbio, un supporto specialistico in sicurezza informatica fa la differenza nelle prime ore.

Per molte PMI il punto non è comprare altri strumenti a caso, ma ridurre le aree scoperte: identità, permessi, formazione, continuità operativa e tempi di reazione.

Un segnale chiaro: il phishing è diventato una filiera

L’aspetto più rilevante di questa vicenda è culturale, prima ancora che tecnico. Le campagne non vengono più costruite una alla volta da un singolo attaccante, ma nascono da una catena organizzata: chi produce i kit, chi fornisce infrastruttura, chi vende identità cloud, chi gestisce i pagamenti in criptovaluta, chi compra e lancia le campagne.

Questo significa che il volume e la qualità delle truffe continueranno a crescere, anche se un singolo gruppo viene interrotto. Le aziende devono quindi ragionare in termini di resilienza: non chiedersi se arriverà il tentativo, ma quanto rapidamente l’organizzazione è in grado di riconoscerlo, contenerlo e riprendersi.

Domande frequenti

Questa operazione elimina il rischio di phishing per chi usa Microsoft 365?

No. È un intervento importante, ma non definitivo. Blocca una parte significativa dell’ecosistema osservato, senza eliminare la possibilità che gruppi simili riappaiano con nuove infrastrutture.

Le PMI italiane sono davvero un bersaglio di campagne così grandi?

Sì. Le campagne industrializzate colpiscono in modo molto ampio e automatizzato. Non serve essere una grande azienda per finire nel mirino: basta avere account, dati o processi di pagamento utili.

Se un dipendente inserisce le credenziali su una pagina falsa, cosa va fatto subito?

Occorre intervenire immediatamente: cambiare la password, revocare le sessioni attive, controllare eventuali app autorizzate, verificare accessi anomali e valutare possibili impatti su dati e caselle condivise.