Campagna phishing AiTM contro utenti Microsoft 365

Introduzione

Microsoft ha scoperto una sofisticata campagna di phishing che ha preso di mira più di 35.000 utenti in oltre 13.000 organizzazioni in 26 Paesi. Per gli amministratori di Microsoft 365 e della sicurezza, questo è rilevante perché l’attacco ha utilizzato una tecnica adversary-in-the-middle (AiTM) per catturare i token di autenticazione, che può aggirare MFA non resistente al phishing e fornire agli attaccanti accesso immediato agli account.

Cosa c’è di nuovo

Tra il 14 e il 16 aprile 2026, Microsoft ha osservato un’operazione di phishing multi-stage che utilizzava esche legate a codice di condotta e compliance interna. I messaggi erano progettati per sembrare comunicazioni interne legittime ed erano inviati in email autenticate da domini controllati dagli attaccanti tramite un servizio legittimo di recapito email.

Le principali caratteristiche della campagna includevano:

• Email curate a tema compliance con oggetti urgenti su cattiva condotta dei dipendenti o casi di non conformità
• Allegati PDF che invitavano i destinatari a esaminare i materiali del caso
• Più pagine intermedie incluse verifiche CAPTCHA e passaggi di “verifica” intermedi
• Un prompt finale di accesso Microsoft incorporato in un flusso AiTM per intercettare i token di sessione
• Impatto esteso in tutti i settori, in particolare Healthcare, Financial Services, Professional Services e Technology

Microsoft ha affermato che la maggior parte delle vittime si trovava negli Stati Uniti, ma la campagna ha colpito organizzazioni a livello globale.

Perché questo attacco è significativo

A differenza del phishing di credenziali di base, gli attacchi AiTM fanno da proxy alla sessione di autenticazione in tempo reale. Ciò significa che anche quando gli utenti completano MFA, gli attaccanti possono comunque acquisire i token e riutilizzarli per accedere agli account.

Questa campagna mostra anche come si stanno evolvendo le tattiche di phishing:

• Gli attaccanti hanno usato template HTML in stile enterprise per aumentare la credibilità
• Hanno sfruttato pressione temporale e accuse in stile HR per spingere ad agire rapidamente
• CAPTCHA e pagine intermedie hanno aiutato a filtrare l’analisi di sicurezza automatizzata
• Il flusso finale di accesso appariva abbastanza legittimo da ridurre i sospetti degli utenti

Impatto per gli amministratori IT

I team di sicurezza dovrebbero considerarlo un promemoria del fatto che la sola consapevolezza degli utenti non è sufficiente. Le organizzazioni hanno bisogno di difese stratificate su email, identità, endpoint e protezione web.

Gli amministratori dovrebbero rivedere:

• Le configurazioni di Exchange Online Protection e Microsoft Defender for Office 365
• Le policy anti-phishing e le protezioni contro l’impersonation
• Il supporto SmartScreen nei browser gestiti
• Network protection in Windows per bloccare destinazioni web malevole
• La copertura di rilevamento e risposta per attività di accesso sospette e abuso dei token

Prossimi passaggi consigliati

I team IT dovrebbero intraprendere le seguenti azioni:

1. Formare gli utenti sulle esche di phishing legate a HR, compliance e normative
2. Eseguire simulazioni di phishing con l’attack simulation training di Microsoft Defender for Office 365
3. Rafforzare le impostazioni di sicurezza email e rivedere le raccomandazioni delle policy nel portale di sicurezza Microsoft
4. Dare priorità all’autenticazione resistente al phishing dove possibile
5. Cercare indicatori di compromissione e indagare comportamenti di sessione insoliti collegati agli eventi di accesso

Questa campagna rafforza una lezione chiave di sicurezza: il phishing moderno non riguarda più solo le password. Difendersi dal furto di token richiede protezioni dell’identità più solide, migliore sicurezza email e formazione continua degli utenti.