Team MailSniper
Autore
Nelle ultime settimane, i ricercatori di sicurezza hanno individuato il primo caso documentato di add-in malevolo per Microsoft Outlook specificamente progettato per il furto massivo di credenziali. Il bilancio è allarmante: oltre 4.000 account Microsoft compromessi in poche settimane, con vittime distribuite prevalentemente tra PMI europee e nordamericane.
Questo attacco rappresenta un'evoluzione significativa nel panorama delle minacce email. Non si tratta del classico phishing via messaggio, ma di un componente software che si installa direttamente nel client di posta, operando dall'interno e sfuggendo alla maggior parte dei controlli di sicurezza tradizionali.
L'attacco inizia con un'email di spear phishing mirata, spesso mascherata da comunicazione del reparto IT aziendale o da un fornitore di servizi cloud. Il messaggio invita l'utente a installare un "aggiornamento di sicurezza" o un "componente di produttività" per Outlook, fornendo un link a una pagina web che replica fedelmente il Microsoft AppSource.
Una volta che l'utente acconsente all'installazione, l'add-in si integra nell'interfaccia di Outlook come un componente apparentemente legittimo. Richiede permessi di lettura delle email e accesso ai contatti — permessi che molti add-in legittimi richiedono, rendendo la richiesta non sospetta.
L'add-in malevolo opera in background con due meccanismi principali:
Le credenziali raccolte vengono inviate a server di comando e controllo (C2) tramite richieste HTTPS cifrate, mimetizzate nel normale traffico web. I dati esfiltrati includono non solo le credenziali, ma anche la rubrica contatti della vittima — utilizzata per propagare ulteriormente l'attacco.
Gli add-in di Outlook operano all'interno dell'ambiente sandbox di Microsoft Office. La maggior parte degli antivirus endpoint non analizza il comportamento degli add-in installati, concentrandosi su file eseguibili, macro e allegati. Un add-in malevolo che utilizza API Microsoft legittime per le sue operazioni risulta praticamente invisibile ai controlli tradizionali.
A differenza di un'email di phishing che richiede un'azione una tantum, l'add-in malevolo rimane attivo nel client di posta per settimane o mesi. Ogni volta che l'utente apre Outlook, il componente è operativo e può catturare nuove credenziali, monitorare le comunicazioni e raccogliere dati.
Con accesso alla rubrica e alle credenziali della vittima, gli attaccanti possono inviare email di phishing dai account compromessi legittimi, bypassando i controlli DMARC e SPF. Quando il collega riceve un'email dall'account reale di un altro dipendente con un invito a installare lo stesso add-in, la probabilità di successo dell'attacco aumenta esponenzialmente.
L'add-in non causa rallentamenti evidenti, non modifica l'interfaccia in modo visibile e non genera errori. L'utente continua a utilizzare Outlook normalmente, ignaro che ogni sua credenziale viene intercettata e inviata agli attaccanti.
| Metrica | Valore |
|---|---|
| Credenziali compromesse confermate | 4.000+ |
| Organizzazioni colpite | 200+ |
| Settori più colpiti | Finanza, Manifatturiero, Servizi Professionali |
| Tempo medio di rilevamento | 23 giorni |
| Tasso di successo dello spear phishing iniziale | ~12% |
| Tasso di propagazione laterale | ~34% |
Il dato più preoccupante è il tempo medio di rilevamento di 23 giorni: quasi un mese durante il quale l'attaccante ha accesso completo alle comunicazioni email della vittima, con la possibilità di intercettare informazioni sensibili, fatture, contratti e dati personali.
La difesa più efficace è impedire che l'email di spear phishing iniziale raggiunga la casella dell'utente. Una soluzione di email security avanzata come MailSniper analizza ogni messaggio in ingresso con:
Microsoft 365 offre strumenti di gestione degli add-in che molte organizzazioni non utilizzano:
Se sospetti che un add-in malevolo sia stato installato nella tua organizzazione:
Questo attacco dimostra che la sicurezza email nel 2026 va ben oltre il semplice filtro antispam. I vettori di attacco si evolvono continuamente e gli attaccanti trovano nuovi modi per aggirare le difese tradizionali.
Le PMI italiane, spesso target privilegiati perché percepite come meno protette delle grandi aziende, devono adottare un approccio multilivello alla sicurezza email:
La protezione non deve essere necessariamente costosa o complessa. Soluzioni come MailSniper offrono protezione enterprise a partire da €1,50 al mese per casella, con setup guidato gratuito e supporto in italiano.
L'attacco tramite add-in Outlook malevoli segna un punto di svolta: gli attaccanti non si limitano più a inviare email fraudolente, ma si insediano direttamente negli strumenti che usiamo ogni giorno. La risposta non può essere solo tecnologica — richiede una combinazione di protezione avanzata, policy organizzative rigorose e una cultura della sicurezza diffusa in tutta l'azienda.
Il momento migliore per rafforzare le proprie difese è prima che l'attacco arrivi. Scopri come MailSniper può proteggere la tua organizzazione.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoAlle 3:47 di una notte qualsiasi, un analista scopre i dati di AstraZeneca su un forum underground. Dietro c'è TeamPCP, con una tattica rara: il doppio ransomware. Ecco come funziona l'attacco alla supply chain che ha messo in ginocchio due colossi
LeggiQuarantotto ore senza nuovi host compromessi. Per la campagna TeamPCP non è un segnale positivo: significa che il gruppo ha smesso di espandersi e ha iniziato a raccogliere. Analisi della fase di monetizzazione, TTPs e raccomandazioni operative per i team di sicurezza.
LeggiAPT28 sta usando documenti Office trappola e webhook per infiltrarsi in aziende e enti di tutta Europa. Ti spiego come funziona — e perché, prima o poi, potrebbe riguardare anche te.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.