Attacchi ai token Microsoft 365: cosa fare subito

Un nuovo tipo di attacco contro Microsoft 365 ha compromesso 97 account in 79 organizzazioni senza puntare soprattutto a indovinare le password: gli aggressori hanno rubato i token di accesso dopo il login e li hanno riutilizzati per entrare nelle caselle di posta. Per un’azienda questo significa una cosa semplice: anche con la MFA attiva, posta elettronica, dati sensibili e flussi amministrativi possono essere esposti se non si controllano sessioni, dispositivi registrati e metodi di autenticazione.

Cosa è successo

Il 26 ottobre 2026 Huntress ha reso pubblica un’attività malevola osservata tra il 14 luglio e il 22 settembre 2026 contro ambienti Microsoft 365. Nel periodo analizzato i ricercatori hanno rilevato oltre 200.000 tentativi di accesso, 497 eventi di login riusciti e la compromissione finale di 97 account distribuiti su 79 organizzazioni.

L’elemento più importante non è solo il numero delle vittime, ma la tecnica usata. Gli attaccanti non si sono limitati a raccogliere username e password: hanno sfruttato pagine di accesso intermediarie, di tipo adversary-in-the-middle, per intercettare la sessione di autenticazione e impossessarsi del token emesso da Microsoft dopo il login legittimo. Con quel token, il criminale può “ripresentarsi” ai servizi Microsoft 365 come se fosse l’utente appena autenticato.

In pratica, l’attacco aggira il vantaggio operativo della MFA: il codice o la conferma vengono richiesti e validati una sola volta alla vittima, ma il token risultante viene poi riutilizzato dall’aggressore entro pochi minuti, senza dover superare di nuovo lo stesso controllo.

Perché questo attacco è diverso dal phishing classico

Molte aziende hanno imparato a diffidare delle email che chiedono la password. Qui, però, il problema è più sottile. Se il dipendente finisce su una falsa pagina di accesso molto convincente, inserisce credenziali e approva la MFA credendo di essere sul portale vero. Dietro le quinte, il sistema malevolo passa i dati alla vera infrastruttura Microsoft, ottiene il token di sessione e lo conserva.

Da quel momento l’attaccante non ha necessariamente bisogno della password per continuare a operare subito. Per questo si parla di token replay o, nel linguaggio usato dai ricercatori, di token spraying: riutilizzare in massa token rubati contro più organizzazioni, in modo analogo al password spraying, ma con un impatto potenzialmente ancora più insidioso.

Secondo Huntress, i token possono arrivare da più fonti: relay AitM dietro false pagine di login, campagne di device-code phishing e persino tecniche di social engineering durante un accesso legittimo.

Come si sono mossi gli aggressori dopo l’accesso

Una volta entrati, gli attaccanti non si sono fermati alla consultazione delle email. Hanno cercato soprattutto persistenza, cioè un modo per mantenere l’accesso anche se il token rubato fosse scaduto o revocato.

Le due mosse più significative osservate da Huntress sono state:

• l’aggiunta di una propria app di autenticazione come metodo MFA;
• la registrazione di dispositivi Entra non autorizzati.

In almeno 19 organizzazioni i metodi MFA esistenti della vittima sono stati rimossi e sostituiti con uno nuovo entro tre ore dal primo accesso. In un caso del 21 luglio 2026, una nuova app di autenticazione chiamata “iPhone 13” è stata attivata meno di 51 minuti dopo il dirottamento della sessione.

In parallelo, i criminali hanno registrato almeno 48 dispositivi fasulli nelle directory delle aziende colpite. Questo passaggio è particolarmente serio perché un dispositivo registrato può offrire un canale più stabile per richiedere nuovi token rispetto alla sola sessione rubata.

Infine, sono state rilevate regole nascoste nelle caselle di posta per eliminare o spostare messaggi in arrivo contenenti parole chiave legate a stipendi, depositi e bonus. Alcune regole usavano nomi volutamente poco visibili, come “.”, “sss”, “ss”, “iT”, oppure sequenze di punti o virgole. In almeno un caso, tutte le email in ingresso venivano segnate come lette e cancellate, mentre la mailbox compromessa veniva usata per inviare spam verso centinaia di destinatari esterni.

Questo dettaglio è cruciale per un’impresa: quando un attaccante controlla l’email, il rischio non è solo la perdita di riservatezza, ma anche frodi sui pagamenti, intercettazione di fatture, manipolazione delle comunicazioni HR e danno reputazionale verso clienti e fornitori.

I segnali da non ignorare in Microsoft 365

Il valore pratico di questa vicenda sta nella capacità di riconoscere i segnali deboli prima che il problema diventi un incidente grave. In un tenant Microsoft 365, i campanelli d’allarme più utili sono questi:

• accessi riusciti da località, indirizzi IP o contesti insoliti subito dopo una MFA legittima;
• comparsa di nuovi metodi di autenticazione non autorizzati;
• rimozione improvvisa dei metodi MFA già presenti;
• registrazione di dispositivi Entra che nessuno in azienda riconosce;
• creazione di regole di posta strane, con nomi anomali o che spostano messaggi in cartelle come RSS Feeds o Conversation History;
• invio di grandi volumi di email da account normalmente non usati per campagne massicce;
• richiesta improvvisa di riapprovare l’accesso o di completare passaggi MFA fuori contesto.

Le organizzazioni più esposte sono quelle che usano Microsoft 365 come centro operativo dell’azienda ma non hanno un presidio continuativo su identità, endpoint e log. È proprio in questi casi che un contratto di assistenza informatica o un servizio di sicurezza informatica diventano strumenti di continuità, non semplici costi tecnici.

Perché la sola MFA non basta più

La lezione più importante è forse questa: la MFA resta indispensabile, ma da sola non è sufficiente. Se l’utente consegna involontariamente il proprio token dopo aver completato una MFA legittima, l’azienda ha bisogno di ulteriori livelli di controllo.

Huntress raccomanda l’uso di Conditional Access Policies ben configurate per colmare alcuni vuoti che la MFA non copre. In particolare, i ricercatori suggeriscono criteri che richiedano MFA, o blocchino l’accesso, per tutti gli utenti, tutte le cloud app e tutti i tipi di app client, senza eccezioni non necessarie.

Per molte PMI italiane il problema non è capire il principio, ma tradurlo in regole corrette senza interrompere il lavoro quotidiano. Una configurazione sbagliata può lasciare buchi di sicurezza; una troppo rigida può bloccare posta, smartphone e applicazioni aziendali. Serve quindi un equilibrio tra protezione e operatività.

Cosa significa per la tua azienda

Se la tua azienda usa Microsoft 365, questa notizia ti riguarda anche se non hai evidenze di compromissione. Il punto non è solo “evitare il phishing”, ma rendere l’ambiente capace di reagire rapidamente a sessioni rubate e accessi persistenti.

Ecco le azioni pratiche da mettere in agenda subito:

1. Rivedi i metodi MFA attivi per gli utenti più sensibili
   Controlla amministratori, direzione, amministrazione, HR e commerciali. Verifica che non compaiano app di autenticazione o numeri di telefono sconosciuti.

2. Controlla i dispositivi registrati in Entra
   Cerca device che non risultano inventariati o assegnati. Un dispositivo non riconosciuto non va solo disabilitato: va capito quando è stato registrato e da quale account.

3. Analizza le regole di posta nelle mailbox critiche
   Le caselle di amministrazione, paghe, tesoreria e direzione sono le prime da esaminare. Regole che cancellano, inoltrano o nascondono messaggi meritano verifica immediata.

4. Revoca sessioni e reimposta le credenziali in caso di dubbio
   Se sospetti un token replay, la sola modifica della password potrebbe non bastare da sola nell’immediato. Vanno revocate le sessioni attive e riesaminati i metodi di autenticazione.

5. Limita i flussi di device-code dove non servono
   Se non avete una necessità operativa chiara, restringere questi meccanismi può ridurre la superficie d’attacco.

6. Rafforza monitoraggio e gestione dei client
   Molti indizi emergono dagli endpoint e dalla loro configurazione. Una buona strategia di desktop IT management aiuta a mantenere controllo su dispositivi, accessi e conformità.

7. Verifica backup e piani di continuità
   Anche se qui il bersaglio primario è l’identità, una compromissione dell’email può sfociare in cancellazioni, spam o ulteriori intrusioni. Avere copie sicure e procedure di recupero tramite remote backup resta una misura prudente.

8. Forma gli utenti su scenari realistici, non solo teorici
   Il messaggio da far passare è semplice: una pagina di login apparentemente corretta può essere malevola, e una richiesta MFA inattesa va segnalata subito.

Come rispondere se sospetti una compromissione

Se noti uno dei segnali descritti, è importante non limitarsi a “sistemare” l’account e andare avanti. Serve una risposta ordinata.

Le priorità operative sono:

• revocare le sessioni attive;
• reimpostare la password dell’account coinvolto;
• verificare e ripulire i metodi MFA;
• controllare dispositivi Entra registrati e applicazioni enterprise aggiunte senza autorizzazione;
• esaminare regole inbox, inoltri automatici e attività di invio;
• capire se l’account è stato usato come ponte verso altri utenti o fornitori.

Dal punto di vista gestionale, conviene documentare tempi, account coinvolti, azioni eseguite e possibili dati toccati. Se nelle caselle email erano presenti dati personali, la valutazione potrebbe avere anche riflessi organizzativi e di conformità, da trattare insieme a chi segue la privacy aziendale.

Una tendenza da seguire con attenzione

Il dato più interessante di questa campagna è che gli aggressori stanno spostando il focus dall’attacco alla password all’attacco alla sessione. È un’evoluzione logica: le password sono sempre più protette, la MFA è più diffusa, quindi il bersaglio diventa ciò che dimostra al sistema che il login è già avvenuto.

Per le imprese questo cambia l’approccio alla sicurezza. Non basta più chiedersi se gli utenti hanno scelto una password robusta. Bisogna domandarsi anche: chi controlla le sessioni? Chi verifica i dispositivi registrati? Chi riceve gli alert sui cambiamenti dei metodi MFA? Chi controlla le regole di posta anomale?

Sono domande operative, non teoriche. E oggi fanno la differenza tra un incidente contenuto e una compromissione che si trasforma in frode, fermo operativo o perdita di fiducia da parte dei clienti.

Domande frequenti

Se uso la MFA su Microsoft 365 sono al sicuro?

No, non completamente. La MFA resta fondamentale, ma in questo caso gli attaccanti riutilizzano il token ottenuto dopo un login legittimo. Servono anche controlli su sessioni, dispositivi e accessi condizionati.

Come capisco se una casella email è stata manipolata?

Verifica regole di posta insolite, inoltri automatici, messaggi segnati come letti o spostati in cartelle anomale, oltre a eventuali invii verso molti destinatari non abituali.

Qual è la prima azione da fare se sospetto un token replay?

Revocare subito le sessioni dell’account coinvolto e controllare metodi MFA e dispositivi registrati. Cambiare la password è importante, ma da solo potrebbe non bastare.