AitM Phishing Hijacks Microsoft 365: Payroll

Il lunedì mattina che ha cambiato tutto

Sono le 8:47 di un lunedì mattina quando Sarah, responsabile HR di una media azienda milanese, riceve una mail apparentemente da Microsoft. "Aggiorna i tuoi dati di sicurezza", dice l'oggetto. Niente di strano, succede spesso.

Clicca sul link mentre beve il caffè. Inserisce le credenziali sulla pagina che sembra identica a quella vera. Poi arriva la notifica push per l'MFA - come sempre. Approva con il pollice.

Quello che Sarah non sa è che dall'altra parte del mondo, qualcuno sta copiando in tempo reale ogni sua mossa. Non solo le credenziali, ma l'intera sessione autenticata. In pochi minuti, quell'"ospite invisibile" avrà accesso ai database payroll di 350 dipendenti.

La nuova frontiera del phishing invisibile

I ricercatori di cybersecurity hanno identificato una campagna phishing "widespread" che utilizza tecniche Adversary-in-the-Middle (AitM) per compromettere account Microsoft 365. Non è il solito phishing che ruba password. È qualcosa di più sofisticato e pericoloso.

Secondo le prime analisi, gli attaccanti stanno puntando specificamente a dipendenti con accesso a sistemi payroll e finanziari. L'obiettivo è chiaro: raccogliere email contenenti informazioni sensibili sui pagamenti, dati fiscali, e comunicazioni finanziarie interne.

Il fenomeno AitM nel phishing è cresciuto del 146% nell'ultimo anno. Gli attaccanti hanno capito che rubare le credenziali non basta più - serve intercettare l'intera comunicazione tra utente e servizio cloud.

La tecnica bypassa completamente l'autenticazione multi-fattore, considerata da molti aziende la "linea Maginot" della sicurezza digitale. Ma come ogni linea di difesa, anche l'MFA può essere aggirata se sai come fare.

Anatomia di un attacco perfetto

L'attacco inizia con email di phishing altamente personalizzate, inviate a dipendenti identificati tramite reconnaissance sui social network e database aziendali pubblici. Gli attaccanti studiano l'organigramma, capiscono chi ha accesso a cosa.

Quando la vittima clicca sul link malevolo, non viene portata su un sito di phishing tradizionale. Viene invece reindirizzata su un proxy server controllato dagli attaccanti - il famoso "man in the middle".

Questo proxy si posiziona invisibilmente tra la vittima e il vero sito Microsoft. Quando l'utente inserisce le credenziali, il proxy le cattura e le rimanda al server Microsoft reale. Dal punto di vista della vittima, tutto funziona normalmente.

Arriva la richiesta MFA? Il proxy la intercetta e la mostra all'utente. L'utente approva pensando di autenticarsi normalmente. Ma anche questo token di autenticazione viene catturato dagli attaccanti.

A questo punto, i cybercriminali hanno in mano non solo username e password, ma anche il token di sessione valido. Possono accedere all'account Microsoft 365 come se fossero l'utente legittimo, senza dover rifare l'autenticazione.

Il bello (dal loro punto di vista) è che tutto avviene in tempo reale. Mentre l'utente lavora normalmente nel suo account, gli attaccanti si muovono in parallelo, scaricando email, documenti, contatti. La vittima non si accorge di nulla.

Il costo dell'invisibilità

I danni di questa campagna vanno oltre il semplice furto di dati. Gli attaccanti stanno utilizzando gli account compromessi per lanciare nuovi attacchi verso partner commerciali e fornitori, sfruttando la fiducia del mittente.

In un caso documentato, gli attaccanti hanno utilizzato l'account compromesso di un CFO per inviare false comunicazioni su cambi di coordinate bancarie a 23 fornitori. Il danno economico stimato supera i 400.000 euro.

C'è poi il danno reputazionale. Quando i clienti scoprono che i loro dati payroll sono stati esposti, la fiducia nell'azienda crolla. Due aziende colpite hanno già perso contratti importanti a causa dell'incident.

Senza contare gli aspetti legali. Con il GDPR, l'esposizione di dati payroll comporta sanzioni che possono arrivare al 4% del fatturato annuo. E se l'azienda non dimostra di aver adottato misure di sicurezza appropriate, la multa è praticamente garantita.

Quando MFA non basta: strategie di difesa

La prima lezione è dura da digerire: l'MFA tradizionale non protegge dagli attacchi AitM. Serve una strategia più articolata.

La protezione email avanzata è il primo mattone. Servizi come MailSniper utilizzano analisi comportamentale e AI semantica per identificare email di phishing personalizzate, anche quando superano i filtri tradizionali.

Ma la tecnologia da sola non basta. Serve formazione continua del personale, soprattutto per chi maneggia dati sensibili. La regola d'oro è: se un'email ti chiede di "aggiornare i dati di sicurezza" o "verificare l'account", fermati. Vai direttamente sul sito ufficiale invece di cliccare il link.

Implementare Conditional Access con controlli geografici può limitare i danni. Se un account viene tipicamente utilizzato dall'Italia e improvvisamente si connette dalla Russia, dovrebbe scattare un allarme.

Monitoraggio continuo delle sessioni attive è fondamentale. Se vedi sessioni multiple simultanee dallo stesso account, c'è qualcosa che non va.

Il futuro è già qui

Questa campagna ci sta mostrando il futuro degli attacchi informatici: sempre più sofisticati, sempre più invisibili. Gli attaccanti non fanno più rumore. Si muovono come ombre, rubano quello che gli serve e spariscono.

La domanda non è se la tua azienda sarà presa di mira, ma quando. E se sarai pronto a riconoscere un attacco che non lascia impronte digitali evidenti.

Quante volte hai approvato un MFA questa settimana senza pensarci due volte?