Una campagna di spear-phishing osservata da Cisco Talos e resa pubblica il 16 ottobre 2026 mostra un salto di qualità nelle truffe contro gli account Google: non punta solo a rubare la password, ma anche i codici di autenticazione a più fattori. Il punto critico per le aziende è semplice: se un attacco di tipo adversary-in-the-middle (AitM) viene eseguito bene, anche utenti prudenti e protetti da MFA possono essere ingannati e perdere l’accesso al proprio account.
La notizia nasce da un caso che ha preso di mira persone collegate a organizzazioni di ricerca di Taiwan, ma il metodo usato è universale e replicabile in qualsiasi settore. Per una PMI italiana significa una cosa molto concreta: inviti a eventi, QR code, moduli online e accessi Google possono diventare il punto d’ingresso per compromettere email, documenti, calendari e dati aziendali.
Cosa è successo
Secondo l’analisi di Cisco Talos, l’attività è tracciata con il nome UAT-11985 ed è stata osservata per la prima volta a metà del 2026. La campagna ha colpito soggetti affiliati a enti di ricerca taiwanesi con email mirate che imitavano inviti credibili a eventi pubblici.
L’elemento interessante non è solo il tema dell’esca, ma la qualità dell’inganno. Gli aggressori hanno usato informazioni su eventi reali o plausibili e hanno impersonato istituzioni riconoscibili, tra cui il Taiwan European Union Centre, il NCCU Institute of International Relations e il Taiwan Research Institute. L’obiettivo era dare all’email un contesto autorevole e convincente.
Cisco Talos segnala anche un possibile uso di contenuti generati o accelerati con strumenti di intelligenza artificiale. Non perché i messaggi fossero perfetti, ma perché mostravano una struttura quasi identica tra loro, adattata rapidamente a destinatari diversi. In pratica, non siamo davanti a mail scritte una per una in modo artigianale, ma a una catena semi-industriale di spear-phishing personalizzato.
Perché questa campagna è diversa dal phishing “classico”
Nel phishing tradizionale, il truffatore cerca di convincere la vittima a inserire username e password in un sito falso. Qui il livello è superiore: il sito fraudolento si comporta come un intermediario tra vittima e vero servizio Google.
Questo approccio è chiamato adversary-in-the-middle, o AitM. In sostanza, la vittima vede una pagina che sembra autentica, inserisce le credenziali e completa anche i passaggi di autenticazione aggiuntivi. Nel frattempo, il sistema dell’attaccante inoltra tutto ai server legittimi di Google in tempo reale e raccoglie le informazioni necessarie per prendere il controllo dell’account.
La conseguenza è importante: l’MFA non viene “rotto” tecnicamente, ma aggirato operativamente. L’utente consegna password e codici all’attaccante mentre crede di star accedendo al servizio vero.
Come funziona l’attacco, in pratica
La campagna descritta da Talos parte da email di invito a eventi su temi geopolitici o di policy. I messaggi seguono, secondo i ricercatori, una struttura ricorrente in tre parti:
- un’apertura molto curata che descrive il contesto dell’evento;
- una parte personalizzata che lusinga il destinatario e lo presenta come interlocutore qualificato;
- una chiusura con dettagli logistici e istruzioni per registrarsi.
Questo dettaglio conta perché spiega come mai molte vittime possano abbassare la guardia: il messaggio non ha il tono frettoloso delle truffe generiche, ma quello di un invito professionale e plausibile.
Il link di registrazione portava a infrastrutture controllate dagli attaccanti. In alcuni casi, passando il mouse sul collegamento compariva un URL che sembrava riferirsi a Google Forms, aumentando la credibilità. In altri, gli aggressori hanno riutilizzato locandine reali prese da siti legittimi, modificando però il QR code con uno malevolo. È il fenomeno che oggi viene spesso chiamato quishing: phishing via QR code.
Una volta aperta la pagina, la vittima vedeva un modulo che imitava l’aspetto di un Google Form. Per completarlo, compariva una finestra che chiedeva di accedere con l’account Google. Da lì iniziava il vero furto: la persona veniva portata a un pannello di login Google contraffatto, quasi indistinguibile dall’originale.
Talos descrive una raccolta dati in tempo reale tramite JavaScript offuscato e connessioni WebSocket. Prima ancora dell’inserimento della password, il sito raccoglieva informazioni sul dispositivo e sul browser, come lingua, user agent, dimensioni dello schermo e stato mobile/non mobile. Quando la vittima inseriva la password, i dati venivano inviati al server di comando e controllo dell’attaccante, che li inoltrava al vero servizio di autenticazione Google.
Questo meccanismo permetteva all’aggressore di seguire in diretta lo stato dell’autenticazione e di arrivare al takeover completo dell’account senza destare sospetti immediati.
Il ruolo dei QR code e degli inviti agli eventi
Il dettaglio forse più utile per chi gestisce un’azienda è che l’attacco non si limita alla posta elettronica. L’uso di poster e QR code allarga molto la superficie di attacco.
Se un QR code appare su una locandina credibile, su un PDF condiviso internamente o su un volantino stampato, la vittima può non percepire alcun rischio. Anzi, spesso il QR code viene considerato più sicuro di un link copiato in email. In realtà è l’opposto: il codice nasconde l’indirizzo di destinazione e rende più difficile una verifica preventiva.
Per questo i processi aziendali che includono registrazioni a eventi, webinar, convegni, corsi o incontri con partner diventano un bersaglio ideale. Non serve un allegato malevolo: basta una falsa procedura di registrazione su un tema credibile.
Perché interessa anche le PMI italiane
Il fatto che i bersagli iniziali siano legati a organizzazioni di ricerca di Taiwan non deve trarre in inganno. Le tecniche descritte possono essere riutilizzate contro studi professionali, uffici amministrativi, direzioni commerciali, HR e management.
In molte PMI l’account Google o Microsoft è il centro operativo dell’azienda: email, calendari, file condivisi, contatti, videoriunioni, documenti riservati. Compromettere quell’account significa poter leggere conversazioni, intercettare fatture, inviare messaggi a clienti e fornitori, cambiare password di altri servizi e preparare frodi più gravi.
Inoltre, più l’invito è coerente con il ruolo della persona, più aumenta la probabilità di successo. Un responsabile marketing può ricevere un presunto invito a una tavola rotonda; un amministrativo a un evento fiscale; un direttore a un forum di settore. È esattamente questo il vantaggio del phishing personalizzato supportato da modelli ripetibili e veloci da adattare.
Cosa significa per la tua azienda
Per una PMI italiana, la risposta non può essere solo “facciamo attenzione”. Serve una combinazione di misure tecniche, organizzative e formative.
Primo: non considerare l’MFA una protezione assoluta. È indispensabile, ma da sola non basta contro gli attacchi AitM. Bisogna verificare quali metodi di autenticazione state usando e se esistono opzioni più resistenti al phishing rispetto ai codici temporanei o alle approvazioni standard.
Secondo: formalizzare una regola semplice sui link e sui QR code. Nessun dipendente dovrebbe autenticarsi a Google o ad altri servizi aziendali partendo da un link ricevuto in email o da un QR code su locandine, PDF o messaggi. La procedura corretta è aprire manualmente il portale noto o usare i preferiti aziendali.
Terzo: allenare il personale sui segnali specifici di questo tipo di truffa. Non solo errori grammaticali o mittenti sospetti, ma anche inviti troppo lusinghieri, registrazioni “obbligatorie” con login Google, URL che sembrano legittimi a una prima occhiata e richieste di accesso fuori dal normale flusso di lavoro.
Quarto: proteggere gli endpoint e monitorare gli accessi. Se un account viene compromesso, la velocità di risposta è decisiva. Servono log, avvisi su accessi anomali, verifica delle sessioni attive e procedure chiare per il reset credenziali. Qui diventano utili servizi di sicurezza informatica e di desktop IT management per governare postazioni, browser e criteri di accesso in modo uniforme.
Quinto: preparare il piano B. Se un account viene preso di mira o bloccato, bisogna poter ripristinare rapidamente documenti e continuità operativa. Un sistema di remote backup non ferma il phishing, ma riduce i danni collaterali quando un incidente si estende a file, caselle o ambienti sincronizzati.
Infine, se trattate dati personali tramite questi account, ricordate che un takeover può avere implicazioni anche sul fronte organizzativo e normativo: accessi non autorizzati a email, documenti e anagrafiche clienti possono trasformarsi in un problema di compliance oltre che di sicurezza.
Le lezioni più importanti da portare in ufficio
Ci sono tre messaggi chiave da condividere subito con colleghi e collaboratori.
Il primo è che gli attaccanti oggi lavorano su credibilità e contesto, non solo su malware e allegati. Una mail ben scritta e coerente con il ruolo del destinatario può essere più pericolosa di un file eseguibile.
Il secondo è che i QR code non sono neutri. In azienda andrebbero trattati come link cliccabili, quindi con la stessa prudenza e le stesse verifiche.
Il terzo è che una schermata di login apparentemente perfetta non basta a garantire autenticità. Se l’accesso viene richiesto in un punto insolito del flusso, è già un segnale di allarme.
Domande frequenti
Se uso l’autenticazione a due fattori, sono al sicuro?
Più protetto, sì; completamente al sicuro, no. Gli attacchi AitM servono proprio ad aggirare l’MFA convincendo l’utente a completare il login dentro un sito intermediario controllato dal criminale.
Un QR code è più sicuro di un link in email?
No. Dal punto di vista del rischio, un QR code è semplicemente un link nascosto. Spesso è persino più difficile da verificare prima di aprirlo.
Cosa devo fare se un dipendente ha inserito la password in una pagina sospetta?
Bisogna intervenire subito: cambiare password, revocare le sessioni attive, controllare eventuali accessi anomali, verificare inoltri automatici in posta e analizzare l’account compromesso per capire se ci sono stati movimenti laterali o esfiltrazione di dati.