Basta un invito a riunione apparentemente normale per aprire la porta a un furto di credenziali aziendali. È questo il punto chiave emerso il 23 ottobre 2026: una vasta campagna di phishing ha sfruttato falsi inviti di calendario e finte riunioni Microsoft Teams, colpendo oltre 40mila organizzazioni con più di 740mila email rilevate. Per le aziende il problema è concreto perché questi attacchi non hanno bisogno di malware: si infilano nei flussi di lavoro quotidiani e puntano direttamente sulla fiducia delle persone.
Cosa è successo
Secondo quanto riportato da Check Point e rilanciato da Cyber Security 360 il 23 ottobre 2026, i criminali informatici hanno messo in circolazione una campagna su larga scala basata su messaggi che imitano inviti di calendario e convocazioni a meeting su Microsoft Teams. I numeri danno la misura del fenomeno: oltre 740mila email di phishing individuate e più di 40mila organizzazioni coinvolte.
L’aspetto più insidioso è che l’attacco non si presenta come il classico messaggio grossolano pieno di errori. Al contrario, sfrutta strumenti ormai familiari a chiunque lavori in ufficio: calendario condiviso, meeting online, notifiche di Teams, richieste di contatto esterne. In pratica, gli aggressori cercano di sembrare parte del normale traffico aziendale.
Questo cambia anche la percezione del rischio. Molte imprese hanno imparato a diffidare degli allegati sospetti o dei file eseguibili. Qui però il meccanismo è diverso: il bersaglio viene spinto a cliccare, autenticarsi o confermare informazioni in un contesto che appare legittimo. Se la credenziale viene rubata, l’attaccante può poi muoversi usando un accesso valido, con molte più probabilità di eludere i controlli iniziali.
Perché Teams e i calendari sono diventati un bersaglio ideale
Negli ultimi anni gli strumenti di collaborazione sono diventati il centro operativo di molte aziende. Riunioni, chat, documenti, approvazioni e contatti esterni passano sempre più spesso da un’unica piattaforma. Questo li rende preziosi non solo per chi lavora, ma anche per chi attacca.
Un invito a una riunione ha alcune caratteristiche che lo rendono perfetto per il phishing:
- arriva in un formato che tutti si aspettano;
- richiede spesso una risposta rapida;
- può coinvolgere contatti esterni, quindi un mittente sconosciuto non sorprende sempre;
- induce a cliccare senza troppe verifiche, soprattutto se sembra riferirsi a un’attività urgente.
In più, le tecniche moderne di social engineering non si basano necessariamente su link apertamente malevoli o allegati infetti. Possono usare la pressione psicologica, l’urgenza, la curiosità o il contesto aziendale per spingere una persona a esporsi. È proprio questo il salto di qualità: l’attacco si mimetizza nelle abitudini di lavoro.
Il vero cambio di paradigma: attacchi senza malware
Per molte aziende “cyber attacco” significa ancora virus, ransomware o software dannoso. In realtà campagne come questa mostrano un’altra tendenza: l’obiettivo può essere raggiunto senza installare nulla sul PC della vittima.
Se un dipendente inserisce le proprie credenziali su una pagina falsa o le comunica nel posto sbagliato, il criminale ottiene un accesso valido. Da quel momento il perimetro di difesa si complica. Un account reale, soprattutto se privo di adeguate protezioni aggiuntive, permette di:
- leggere email e chat;
- osservare abitudini, ruoli e contatti;
- preparare frodi interne più credibili;
- diffondere ulteriori messaggi malevoli dall’interno;
- tentare escalation verso altri sistemi aziendali.
In altre parole, il danno iniziale può sembrare piccolo, ma il valore dell’accesso rubato è molto alto.
La risposta di Microsoft: rilevamento phishing con AI in Teams
Lo stesso 23 ottobre 2026, BleepingComputer ha riportato che Microsoft introdurrà in Teams un sistema di rilevamento del phishing basato su AI e sensibile al contesto delle conversazioni. L’avvio è previsto per l’inizio di novembre 2026 in una fase di rilascio mirata, con conclusione attesa a metà novembre; la disponibilità generale globale dovrebbe seguire tra inizio e metà dicembre.
L’elemento interessante non è solo l’uso dell’intelligenza artificiale, ma il fatto che il sistema promette di identificare comportamenti sospetti anche quando mancano gli indicatori tradizionali, come link malevoli o file allegati. In pratica, Teams cercherà di riconoscere segnali di phishing, social engineering, impersonificazione e intento ingannevole analizzando il contesto della conversazione, soprattutto negli scenari considerati più rischiosi come il primo contatto esterno.
Microsoft ha inoltre precisato che gli amministratori IT non dovranno eseguire azioni specifiche per attivare questa protezione e che il contenuto dei messaggi non verrà trattenuto per addestramento del modello o altri usi secondari. Secondo l’azienda, la funzionalità sarà impiegata esclusivamente a fini di protezione della sicurezza.
Questa novità si inserisce in un percorso più ampio di rafforzamento di Teams: controlli sugli utenti esterni, blocco dei bot identificati nelle riunioni, sfocatura dei codici QR inviati da mittenti esterni, possibilità di segnalare inviti sospetti e integrazioni future contro deepfake e impersonificazioni nei meeting.
Perché non basta aspettare la nuova protezione
Le nuove difese di Microsoft sono importanti, ma non vanno lette come una soluzione definitiva. Ci sono almeno tre motivi.
Il primo è temporale: il rilascio avviene tra novembre e dicembre 2026, mentre le campagne sono già in corso.
Il secondo è operativo: nessun filtro intercetta tutto, soprattutto negli attacchi che sfruttano il contesto e il comportamento umano.
Il terzo è organizzativo: il problema non riguarda solo Teams, ma il modo in cui l’azienda gestisce identità, accessi, procedure e formazione.
Per una PMI, quindi, il tema non è soltanto “avremo una funzione in più”, ma “quanto siamo pronti oggi se un account viene compromesso?”.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio è semplice: il phishing non arriva più solo via email tradizionale, ma anche dentro gli strumenti di collaborazione che il personale usa ogni giorno. Servono quindi misure pratiche, non solo tecniche, per ridurre il rischio.
Ecco le priorità più utili.
1. Tratta Teams come un canale critico, non come una chat innocua
Molte aziende proteggono la posta elettronica ma sottovalutano chat, inviti, calendari e riunioni. Invece vanno inclusi nelle policy di sicurezza e nelle procedure di verifica.
2. Definisci una regola chiara per i contatti esterni
Se arriva un primo messaggio da un soggetto esterno, soprattutto con richiesta urgente, cambio di procedura, accesso a file o invito a meeting inatteso, il personale deve sapere che serve una verifica ulteriore. Una telefonata o una conferma su un canale già noto spesso basta a fermare la truffa.
3. Rafforza l’autenticazione degli account
La doppia autenticazione resta una misura fondamentale. Non elimina il rischio, ma alza molto la difficoltà per chi ruba una password. Va applicata almeno agli account Microsoft 365, agli amministratori e agli utenti con accesso a dati sensibili.
4. Riduci i privilegi dove non servono
Se tutti possono accedere a tutto, un singolo account compromesso diventa un problema enorme. Separare ruoli, autorizzazioni e accessi limita i danni.
5. Forma il personale su esempi reali e attuali
La formazione efficace non deve essere teorica. Occorre mostrare come si presenta oggi un falso invito Teams, cosa controllare, quali segnali devono far alzare l’attenzione e a chi segnalare il sospetto. La sensibilizzazione continua è parte della sicurezza informatica, non un’attività una tantum.
6. Prepara una procedura di reazione rapida
Se un dipendente pensa di aver cliccato o inserito credenziali, deve sapere cosa fare subito: avvisare il referente interno o il fornitore IT, cambiare password, chiudere le sessioni aperte, verificare eventuali accessi anomali. La rapidità è decisiva.
7. Proteggi anche la continuità operativa
Il phishing spesso è il primo passo verso incidenti più pesanti. Per questo è prudente affiancare alla prevenzione un sistema affidabile di backup remoto, così da contenere gli effetti di eventuali escalation o blocchi operativi.
8. Mantieni client e policy sotto controllo
Configurazioni incoerenti, dispositivi non aggiornati e gestione frammentata degli endpoint amplificano il rischio. Un presidio continuativo di desktop IT management aiuta a rendere le impostazioni più uniformi e controllabili.
I segnali da non ignorare in un invito sospetto
Senza entrare in tecnicismi, ci sono alcuni elementi che un responsabile d’ufficio dovrebbe far conoscere a tutto il team:
- invito a una riunione che nessuno si aspettava;
- mittente esterno con nome credibile ma non verificato;
- richiesta di accesso, conferma o login fuori procedura;
- toni di urgenza come “immediato”, “ultimo avviso”, “meeting spostato ora”;
- incoerenze tra nome del mittente, indirizzo e contesto;
- messaggi che spingono ad aprire Teams o il calendario per “risolvere un problema” non chiaro.
Il punto non è creare allarmismo, ma abituare le persone a una breve verifica in più prima di agire.
Una lezione utile anche per il management
Questo tipo di notizia riguarda direttamente titolari, direttori amministrativi e responsabili operativi perché il phishing moderno non è più soltanto un tema da reparto IT. Colpisce i processi: approvazioni, pagamenti, accesso ai documenti, relazioni con clienti e fornitori.
Quando gli attaccanti usano strumenti normali del lavoro, la difesa deve diventare altrettanto normale e quotidiana. Significa combinare tecnologia, regole semplici, formazione e supporto tempestivo. Le aziende che riescono meglio non sono quelle che “non ricevono attacchi”, ma quelle che intercettano prima i segnali e reagiscono in modo ordinato.
Domande frequenti
Un falso invito Teams può davvero causare un danno serio?
Sì. Se porta al furto di credenziali aziendali, l’attaccante può entrare con un account valido e usare quell’accesso per colpire altri sistemi o persone.
La nuova protezione AI di Microsoft risolverà il problema?
Aiuterà, soprattutto nei contatti esterni sospetti, ma non sostituisce formazione, MFA, controlli sugli accessi e procedure interne.
Cosa dovrebbe fare subito una PMI?
Verificare l’uso della doppia autenticazione, sensibilizzare il personale sui falsi inviti, controllare le policy sui contatti esterni e definire una procedura rapida di segnalazione e risposta.