Team MailSniper
Autore
Mercoledì mattina, ore 9:15. Marco, responsabile IT di una media azienda manifatturiera di Bergamo, stava controllando la posta aziendale dal browser. Un'email apparentemente innocua nella cartella spam catturava la sua attenzione: mittente sconosciuto, oggetto in inglese, nessun allegato visibile.
Ha aperto il messaggio per verificarne il contenuto prima di eliminarlo definitivamente. Un gesto di routine che fa migliaia di volte l'anno. Solo che questa volta, nell'istante esatto in cui l'email si caricava sullo schermo, qualcosa di invisibile stava già accadendo.
Nessun click su link sospetti. Nessun download di allegati. Nemmeno il tempo di leggere il testo del messaggio. OWAReaper, una backdoor sofisticata sviluppata dal gruppo criminale filorusso TA488, si stava già installando silenziosamente sui server dell'azienda.
Marco non poteva saperlo, ma aveva appena assistito al primo esempio documentato di "half-click exploit" su larga scala. Una nuova categoria di attacchi che sfrutta la CVE-2026-42897, una vulnerabilità di tipo Cross-Site Scripting (XSS) scoperta in Outlook Web Access.
Per anni, la sicurezza email si è concentrata su due vettori principali: allegati malevoli e link compromessi. Le aziende hanno investito milioni in sandbox per analizzare i file, filtri URL per bloccare i domini sospetti, formazione per insegnare ai dipendenti a "non cliccare".
Ora tutto questo non basta più.
Secondo i ricercatori di sicurezza che hanno analizzato la campagna TA488, stiamo assistendo a una svolta epocale nel cybercrime. Gli attaccanti non hanno più bisogno dell'interazione della vittima. Basta che l'email venga visualizzata nel browser per innescare l'infezione.
La CVE-2026-42897 rappresenta il 12% delle vulnerabilità XSS scoperte nel 2026 sui client email web-based. Ma è la prima a essere sfruttata attivamente su scala industriale da un gruppo APT (Advanced Persistent Threat) con capacità di livello statale.
Il CERT-PA ha registrato 847 tentativi di sfruttamento della vulnerabilità solo nelle ultime due settimane, con un picco di 156 attacchi concentrati nel settore manifatturiero del Nord Italia. Non è un caso: TA488 ha storicamente preso di mira le supply chain industriali per ottenere accesso a informazioni strategiche e proprietà intellettuale.
Come funziona esattamente questo "half-click exploit"?
Il processo inizia settimane prima dell'invio delle email. TA488 conduce reconnaissance approfondite sui target, identificando le versioni di Outlook Web Access utilizzate e verificando la presenza della vulnerabilità CVE-2026-42897.
L'email di attacco viene crafted con codice JavaScript malevolo nascosto negli header HTML. Quando Outlook Web Access carica il messaggio per visualizzarlo, il browser interpreta automaticamente questo codice come parte legittima dell'interfaccia web.
In millisecondi, lo script esegue una serie di azioni coordinate:
Tutto questo avviene mentre l'utente sta ancora guardando il contenuto apparentemente innocuo dell'email. OWAReaper è progettato per essere "fileless": non lascia tracce sul disco rigido, operando esclusivamente in memoria e utilizzando tecniche di living-off-the-land per mimetizzarsi con i processi legittimi del sistema.
La backdoor persiste anche dopo il riavvio grazie a un meccanismo di auto-reinstallazione che sfrutta le chiavi di registro di Outlook per riattivarsi automaticamente al successivo accesso dell'utente.
L'azienda di Marco ha scoperto l'infezione solo tre settimane dopo, durante un audit di sicurezza programmato. Nel frattempo, TA488 aveva esfiltrato 2,3 TB di dati, inclusi progetti di sviluppo prodotto, listini prezzi riservati e l'intero database clienti.
Il danno economico diretto è stato quantificato in 1,2 milioni di euro: interruzione della produzione per 4 giorni, costi di bonifica IT, consulenze legali per la notifica GDPR, e il programma di sostituzione gratuita delle password per 3.400 clienti.
Ma il costo reputazionale si è rivelato ancora più pesante. Tre fornitori strategici hanno sospeso i contratti in corso, citando preoccupazioni sulla sicurezza dei dati condivisi. Il titolo in borsa ha perso il 7% nei giorni successivi alla disclosure obbligatoria.
Il caso non è isolato. Il CLUSIT (Associazione Italiana per la Sicurezza Informatica) ha documentato almeno 23 incidenti simili nel secondo trimestre 2026, con un danno economico aggregato superiore ai 15 milioni di euro per le sole PMI manifatturiere lombarde.
L'exploit CVE-2026-42897 costringe a rivedere completamente l'approccio alla sicurezza email. I filtri antispam tradizionali, anche quelli più avanzati, analizzano contenuti testuali, allegati e reputazione dei mittenti. Ma non sono progettati per rilevare codice JavaScript nascosto negli header HTML.
La prima linea di difesa è l'aggiornamento immediato: Microsoft ha rilasciato la patch per CVE-2026-42897 il 15 novembre 2026, ma molte organizzazioni continuano a ritardare l'installazione per timore di interruzioni operative.
Oltre al patching, serve un approccio multi-layer che includa:
CVE-2026-42897 segna l'inizio di una nuova era nel cybercrime. Se bastava già essere cauti con link e allegati, ora anche il semplice atto di leggere la posta diventa potenzialmente pericoloso.
Gli esperti prevedono che nei prossimi mesi vedremo exploit simili per altri client email web-based. La superficie di attacco si sta espandendo verso ogni interazione digitale, rendendo l'"interazione zero" il nuovo standard per gli attacchi avanzati.
La domanda non è più "se" la tua organizzazione sarà colpita, ma "quando" – e se sarai in grado di accorgertene in tempo.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoI ricercatori di sicurezza hanno scoperto una sofisticata campagna del gruppo nordcoreano BlueNoroff che utilizza domini typosquattati di Zoom e Microsoft Teams per ingannare le vittime. Il phishing kit non si limita a rubare credenziali: prima di distribuire malware, profila i wallet crypto della vittima.
LeggiTre mesi di accesso totale alle email. Niente allarmi, niente tracce. Un gruppo russo ha trasformato Zimbra in una finestra spalancata sui segreti aziendali.
LeggiIl kit di phishing Kratos, uno dei più usati al mondo per rubare sessioni Microsoft 365 e bypassare MFA, è stato smantellato dalle forze dell'ordine. Ma se la tua azienda è già stata compromessa? Ecco come verificarlo.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.