I criminali simulano il supporto IT per rubare gli accessi a Microsoft 365 tramite finte registrazioni di passkey. Come mettere in sicurezza il tenant aziendale.
L'11 settembre 2026, Microsoft e la testata specializzata BleepingComputer hanno rivelato una nuova campagna di estorsione informatica che prende di mira le aziende che utilizzano Microsoft 365. I criminali aggirano le difese simulando falsi aggiornamenti di sicurezza, sfruttando il tema delle passkey e del Single Sign-On (SSO) per sottrarre i dati di accesso. Questo attacco dimostra che l'adozione delle passkey, pur essendo una misura eccellente, non elimina del tutto il rischio di truffe se la fase di configurazione non è protetta da rigide politiche di verifica aziendale.
La tecnica dell'inganno: finto supporto e domini falsi
I gruppi criminali, tra cui quelli legati ai sindacati di estorsione ShinyHunters, Helix e cluster tracciati come Storm-3121, non forzano la crittografia, ma manipolano le persone. Contattano i dipendenti tramite telefonate (vishing) o messaggi SMS, fingendosi tecnici del supporto IT interno.
Durante la comunicazione, chiedono alla vittima di completare un aggiornamento obbligatorio per l'autenticazione a più fattori o per configurare una nuova passkey. L'utente viene indirizzato verso siti web ingannevoli con nomi simili a quelli ufficiali, come passkeyhelpdesk[.]com, secure-passkey[.]com o integratedsso[.]com.
Come avviene il furto dei dati su Microsoft 365
Il bersaglio dell'attacco non è la chiave segreta della passkey, che rimane protetta dallo standard crittografico FIDO2. L'obiettivo è rubare la sessione di accesso. Utilizzando tecniche di intercettazione (Adversary-in-the-Middle) o abusando del sistema di autorizzazione tramite codice dispositivo, i portali falsi catturano il token di sessione valido, generato subito dopo che l'utente ha completato l'accesso.
Con questo token, i criminali entrano nel tenant Microsoft 365 dell'azienda e registrano un proprio metodo di accesso per garantirsi il controllo futuro. Successivamente, usano script automatizzati sulle API Microsoft Graph per scaricare file da SharePoint, OneDrive for Business ed Exchange Online.
I rischi per le imprese e le normative
L'esfiltrazione silenziosa di documenti e caselle di posta espone le aziende a conseguenze gravi. Oltre al rischio di estorsione sui dati sottratti, una violazione di questo tipo comporta la mancata conformità al GDPR e l'esposizione a sanzioni previste dalla direttiva NIS2 per le aziende soggette. Molte imprese credono che attivare l'autenticazione a più fattori sia sufficiente, ma la fase di registrazione di un nuovo dispositivo resta un momento critico che richiede controlli rigorosi.
Cosa verificare subito nel tenant aziendale
Per bloccare il phishing passkey microsoft 365 e proteggere l'infrastruttura aziendale, è necessario intervenire sulle configurazioni di Microsoft Entra ID. Ecco le azioni pratiche da applicare:
- Rafforzare l'Accesso Condizionato: imporre che l'accesso a Microsoft 365 e la registrazione di nuovi metodi di sicurezza avvengano esclusivamente da dispositivi aziendali gestiti (tramite Microsoft Intune o congiunti a Entra ID) o da posizioni di rete fidate.
- Disabilitare il flusso tramite codice dispositivo: bloccare questo meccanismo di accesso se non è strettamente indispensabile per i dispositivi aziendali.
- Attivare la protezione del token (Session Binding): vincolare i token crittografici di sessione al dispositivo fisico dell'utente, rendendoli inutilizzabili se intercettati e usati su macchine esterne.
- Istruire il personale: chiarire in modo formale che il supporto tecnico interno non chiederà mai via telefono o SMS la registrazione di credenziali su portali esterni al dominio ufficiale
login.microsoftonline.com.
Verificare regolarmente nei log di Microsoft Entra ID la presenza di recenti aggiunte di metodi di autenticazione non autorizzate o picchi anomali di chiamate alle API Microsoft Graph.
