Microsoft ha descritto due campagne che sfruttano infrastrutture email affidabili e falsi avvisi sulle passkey per colpire aziende. Una punta a ottenere bonifici ACH con fatture contraffatte, l’altra mira a prendere il controllo di account Microsoft cloud e a sottrarre dati da SharePoint, OneDrive e caselle di posta.
Nel secondo caso, gli aggressori si presentano come help desk IT, contattano i dipendenti sui numeri personali e li spingono ad aggiornare con urgenza passkey, MFA o SSO. Il messaggio porta a siti che imitano l’accesso Microsoft e può trasformare la richiesta di sicurezza in un accesso persistente per l’attaccante.
Due campagne, un obiettivo: sfruttare la fiducia
La prima attività rilevata da Microsoft ha inviato oltre un milione di email fraudolente tra il 3 e il 5 agosto 2026. I messaggi impersonavano gli amministratori delegati delle aziende bersaglio e chiedevano ai reparti contabili di eseguire trasferimenti ACH per un presunto abbonamento annuale a ServiceNow.
La campagna ha preso di mira soprattutto utenti enterprise statunitensi nei settori dei servizi IT, dei beni di consumo, del settore immobiliare e della manifattura discreta. Microsoft ritiene che gli operatori abbiano usato intelligenza artificiale generativa per creare modelli di email e bozze adattate ai destinatari.
Non si tratta della classica fattura falsa isolata. I messaggi combinano l’imitazione di dirigenti e fornitori, domini ingannevoli, fatture fabbricate e conversazioni email fasulle. In alcuni casi viene inclusa anche una falsa approvazione della fattura, così da rendere più credibile la richiesta di pagamento verso conti controllati dagli aggressori.
Il pretesto della passkey può aggirare le difese
La seconda campagna, osservata da maggio 2026, riguarda intrusioni in ambienti cloud. Dopo accessi sospetti, gli attori aggiungono metodi di autenticazione sotto il proprio controllo e avviano attività ad alto volume tramite Microsoft Graph, oltre a download da SharePoint Online e OneDrive e alla raccolta di email attraverso API REST.
Il punto di partenza è una forma di social engineering mirata all’identità. Una telefonata o un SMS sul dispositivo personale avverte il dipendente di una presunta interruzione imminente del servizio, invitandolo a modificare la passkey, l’autenticazione a più fattori o la configurazione SSO.
Il collegamento conduce a pagine contraffatte che riproducono l’esperienza di accesso Microsoft. L’obiettivo può essere intercettare credenziali tramite un flusso adversary-in-the-middle oppure indurre la vittima ad autorizzare un flusso di autenticazione tramite codice dispositivo a favore dell’aggressore.
Perché registrare un nuovo fattore MFA è così rilevante
Una volta entrati nell’account, gli aggressori cercano di consolidare l’accesso. Microsoft ha osservato la registrazione di un nuovo numero telefonico, di un’app Authenticator o di un token OTP software: un secondo fattore controllato dall’attaccante permette di continuare ad accedere all’account aziendale anche senza il coinvolgimento della vittima.
Da lì può iniziare una ricognizione estesa del tenant con Microsoft Graph: utenti, gruppi, autorizzazioni, ruoli, identità di servizio e contenuti accessibili. Gli operatori possono inoltre esaminare messaggi, cartelle e metadati degli allegati, quindi procedere alla raccolta di file e posta elettronica per ore o giorni.
Microsoft sottolinea che le singole chiamate alle API Graph difficilmente appaiono sospette prese da sole. Il segnale emerge dalla sequenza complessiva: accesso anomalo, aggiunta di un metodo MFA, ricognizione e download massicci da servizi cloud.
Attribuzioni e infrastruttura usata
Le attività descritte presentano sovrapposizioni con un collettivo di cybercriminali indicato da varie organizzazioni con i nomi Cordial Spider, O-UNC-045, PREY-0058 e UNC6671. Microsoft precisa però che la natura esatta di questi collegamenti non è chiara e ipotizza affiliati separati che mantengono tecniche, chiamanti o pannelli di phishing condivisi.
Per l’accesso iniziale, Microsoft attribuisce parti della campagna a diversi attori, inclusi Storm-3121 e Storm-3032. Quest’ultimo è la denominazione usata dall’azienda per UNC6671. Sono stati inoltre rilevati domini a tema passkey, attivazione account, verifica dell’identità e SSO, talvolta con il nome dell’organizzazione bersaglio inserito come sottodominio.
FAQ
Le passkey sono state violate?
No: la campagna non descrive una vulnerabilità intrinseca delle passkey. Gli aggressori sfruttano invece falsi avvisi e siti contraffatti per guidare gli utenti in flussi di autenticazione o autorizzazione che favoriscono il loro accesso.
Come può essere aggirata l’autenticazione MFA?
In uno degli schemi osservati, la vittima viene indotta a completare un attacco tramite codice dispositivo. In altri casi, chi ha già ottenuto l’accesso registra un proprio telefono, un’app Authenticator o un token OTP, creando persistenza nell’account.
Quali dati cercano gli attaccanti dopo l’accesso?
Microsoft cita file in SharePoint Online e OneDrive, messaggi e allegati di Exchange Online, nonché informazioni su utenti, gruppi, autorizzazioni e risorse interne del tenant.
Considerazioni finali
Il dettaglio più preoccupante non è il singolo messaggio falso, ma la costruzione di una catena credibile: ricerca preventiva sui dipendenti, contatto sul telefono personale, pagina che imita il servizio reale e registrazione di un fattore MFA controllato dall’attaccante. È un modello che sposta l’attenzione dalla sola protezione della password alla verifica dell’intero percorso di autenticazione.
La lettura correlata degli eventi indicata da Microsoft è la parte più concreta della segnalazione. Un accesso inconsueto, un nuovo metodo MFA e un picco di attività su Microsoft Graph possono apparire ordinari separatamente, ma insieme delineano il passaggio decisivo: la trasformazione di un accesso iniziale in raccolta persistente di dati cloud.
