L’evoluzione del crimine digitale
Il panorama della sicurezza informatica è in costante fermento, ma l’ultima minaccia rilevata contro gli utenti di Microsoft 365 (ex Office 365) segna un salto di qualità preoccupante. Non siamo più di fronte a semplici email sgrammaticate, ma a campagne di phishing in tempo reale estremamente sofisticate.
Secondo le ultime analisi, i cybercriminali stanno utilizzando kit di attacco avanzati per intercettare non solo le password, ma anche i token di autenticazione, rendendo di fatto inutile la classica protezione del secondo fattore (MFA). Questo attacco, noto come AiTM (Adversary-in-the-Middle), sta colpendo migliaia di aziende in tutto il mondo, sfruttando la fiducia cieca degli utenti verso le piattaforme cloud ufficiali.
🧠 Anatomia del nuovo attacco: La tecnica AiTM
A differenza del phishing tradizionale, dove l’utente viene indirizzato a una pagina statica che ruba solo le credenziali, l’attacco AiTM si comporta come un “ponte” invisibile tra la vittima e il vero server di Microsoft.
Ecco come i criminali riescono a ingannare il sistema:
-
📥 L’Esca Perfetta: L’utente riceve un’email che sembra provenire dal dipartimento IT o da un servizio di amministrazione (spesso con temi riguardanti bonus salariali o documenti condivisi).
-
📥 Il Proxy Malevolo: Cliccando sul link, l’utente finisce su un server gestito dall’hacker che agisce da proxy. Questo server inoltra le richieste dell’utente a Microsoft e le risposte di Microsoft all’utente in tempo reale.
-
📥 Il Furto del Token: L’utente inserisce la password e il codice MFA sulla pagina (che appare identica all’originale). Poiché l’interazione è reale, Microsoft genera un cookie di sessione (token). L’hacker lo intercetta e lo ruba.
-
📥 Accesso Illimitato: Con quel cookie, l’attaccante può accedere all’account della vittima da qualunque dispositivo, scavalcando completamente la necessità di conoscere la password o richiedere nuovamente l’MFA.
🚨 Nuovi Kit di Attacco: BlackForce, GhostFrame e IA
L’escalation di questi attacchi è favorita dalla vendita nel dark web e su Telegram di phishing kit pronti all’uso, con prezzi che oscillano tra i 200 e i 400 euro.
I kit più pericolosi individuati a fine 2025:
-
🤖 InboxPrime AI: Utilizza l’intelligenza artificiale per generare testi di email personalizzati e convincenti, analizzando il linguaggio aziendale per sembrare un collega reale.
-
🤖 BlackForce: Specializzato nel bypass dell’MFA tramite tecniche di “Man-in-the-Browser”, capace di mostrare finestre pop-up false all’interno del browser della vittima.
-
🤖 GhostFrame: Nasconde la pagina di login malevola all’interno di un iframe apparentemente innocuo, rendendo molto difficile per gli antivirus basati su URL identificare la minaccia.
🛠️ Come Difendersi: Oltre la semplice Password
Se l’MFA tradizionale (basato su SMS o codici numerici) può essere aggirato, è fondamentale implementare difese più robuste e moderne all’interno della propria organizzazione.
Le contromisure raccomandate dagli esperti:
-
Passkeys e FIDO2: 🔑 Utilizzare chiavi di sicurezza fisiche o passkeys biometriche. Questi metodi sono resistenti al phishing perché il token è legato all’URL reale del sito: un sito clone non potrà mai attivare la chiave.
-
Accesso Condizionale (Conditional Access): 🔍 Configurare policy che blocchino i tentativi di login da paesi insoliti o da dispositivi non gestiti dall’azienda, limitando la finestra di opportunità dell’hacker.
-
Verifica del Mittente (Direct Send): 📧 Prestare attenzione alle email “interne” che arrivano in realtà da server esterni. Molti attacchi sfruttano la funzione Direct Send per superare i filtri antispam di Microsoft.
-
Monitoraggio dei Token: 📊 Implementare soluzioni di monitoraggio (come Microsoft Defender for Endpoint) capaci di rilevare l’uso di un token di sessione su un indirizzo IP diverso da quello che lo ha generato.
⚖️ Conclusioni: La Privacy Aziendale è un Lavoro di Squadra
L’attacco agli account Microsoft 365 non è più una possibilità remota, ma una certezza statistica per molte imprese. La tecnologia AiTM ha dimostrato che la sicurezza non è uno stato statico, ma un processo di adattamento continuo.
Le aziende devono smettere di fare affidamento esclusivamente sulla tecnologia e investire pesantemente nella formazione del personale. Un dipendente consapevole, capace di notare un’anomalia nell’URL o un tono strano in un’email, rimane la difesa più efficace contro l’ingegno dei criminali informatici. In un mondo guidato dall’IA, l’attenzione umana è il firewall più potente che abbiamo.