Una campagna durata dieci settimane ha riusato token di sessione rubati per entrare nelle caselle Microsoft 365 di 79 aziende. L'MFA c'era, ma non è servita.
A cosa serve l'MFA se l'attaccante non deve nemmeno fare il login? È la domanda che lascia l'ultimo report di Huntress. Tra il 14 luglio e il 22 settembre 2026 un gruppo ancora senza nome è entrato in caselle Microsoft 365 di 79 aziende. Gli accessi riusciti sono stati almeno 497. Non ha indovinato nessuna password e non ha superato nessuna verifica MFA nuova: ha riusato sessioni già aperte dalle vittime.
Il token è il biglietto, non la porta
Quando accedi a Microsoft 365 e confermi il codice MFA, il sistema ti consegna un token di sessione. In pratica è un biglietto già timbrato: finché vale, ti fa entrare senza chiederti altro. Se qualcuno lo copia, entra al posto tuo. I biglietti sono stati rubati in tre modi. Il primo sono le pagine di phishing «adversary-in-the-middle», che fanno da ponte verso il vero login Microsoft e si tengono la sessione. Il secondo è il phishing del «device code», dove la vittima inserisce un codice sulla pagina autentica di Microsoft e così autorizza senza saperlo il dispositivo dell'attaccante. Il terzo è l'ingegneria sociale classica. In un caso tra l'arrivo della vittima al prompt MFA e il riuso della sessione sono passati quattro minuti.
Cosa hanno fatto una volta dentro
Gli attaccanti non si sono limitati a leggere la posta. Hanno registrato in Entra ID almeno 48 dispositivi falsi, con nomi anonimi come DESKTOP- o Work Pc seguiti da caratteri casuali. In 19 aziende hanno cancellato i metodi MFA della vittima e messo i propri, entro tre ore dal primo accesso. Hanno poi creato regole di posta con nomi tipo «.» o «sss», che spostavano o eliminavano i messaggi. In un caso la regola intercettava le mail su stipendi, IBAN e bonus: l'attaccante ha scritto al commercialista esterno a nome della vittima e ha nascosto le risposte. È una frode BEC da manuale, cioè il dirottamento di pagamenti tramite email aziendali compromesse. Oltre agli accessi riusciti si contano più di 200.000 tentativi falliti, partiti quasi tutti da un blocco di indirizzi di un hosting tedesco.
Perché cambiare la password non basta
Huntress insiste su un punto: resettare la password lascia tutto com'era. Il token resta valido, il dispositivo falso resta registrato e l'MFA dell'attaccante resta attiva. Bisogna revocare le sessioni, controllare i dispositivi e i metodi MFA di ogni account colpito e rivedere le regole di posta. Il report consiglia anche di bloccare il flusso device code con le policy di Conditional Access e di non sottovalutare gli accessi bloccati con errore AADSTS53003. Quel blocco vuol dire che l'attaccante aveva credenziali valide e che lo ha fermato solo una policy.
Fonte: The Hacker News
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Il numero che mi colpisce di più non sono le 79 aziende. Sono i 48 dispositivi registrati in Entra con nomi tipo «Work Pc» seguiti da caratteri a caso, che nessuno ha notato per settimane. Nei tenant Microsoft 365 che vedo, l'elenco dei dispositivi è spesso la stanza del disordine: chiunque può registrarne uno, nessuno lo rivede, e ci trovi ancora il portatile di un collega uscito due anni fa. Quando gestisco un incidente su un account violato, la prima reazione in azienda è quasi sempre cambiare la password e considerare chiusa la faccenda. Purtroppo con il furto di token è come cambiare la serratura mentre il ladro è già in casa con un mazzo di chiavi suo.
Il rimedio più efficace, cioè accettare l'accesso solo da dispositivi gestiti e conformi, è anche il meno immediato. Servono Intune, le licenze giuste e qualcuno che gestisca le eccezioni, e per una PMI con venti persone non è un progetto da un pomeriggio. Non me la sento di dire che basta un clic. Ma qualcosa si può fare subito e costa solo un'ora: secondo me la cosa più sensata adesso è aprire Entra, filtrare i dispositivi registrati negli ultimi tre mesi e chiedersi, uno per uno, di chi sono. Se qualcuno non ha un proprietario chiaro, prima di cancellarlo revocate le sessioni di quell'utente.