Phishing Passkey su Microsoft Cloud: un milione di email e finti help desk rubano account, dati e bypassano MFA

Le campagne di phishing evolvono rapidamente e negli ultimi mesi si è visto un salto di qualità che combina infrastrutture di invio email affidabili, ingegneria sociale e temi legati alle passkey per compromettere account Microsoft cloud e sottrarre dati.

In un primo scenario, gli attaccanti hanno inviato oltre un milione di messaggi fraudolenti in pochi giorni, impersonando dirigenti aziendali e puntando ai reparti amministrazione e pagamenti. Il pretesto era un presunto rinnovo annuale di abbonamento, corredato da fatture false e conversazioni email costruite ad arte per rendere credibile la richiesta di pagamento tramite bonifici ACH.

Per aumentare la probabilità di successo, i criminali hanno registrato domini simili a quelli legittimi e hanno sfruttato contenuti che imitano marchi noti. Un elemento chiave è la personalizzazione: nelle firme venivano inseriti nomi e indirizzi email di CEO, CFO o presidenti realmente associati alle aziende bersaglio, così da ridurre i sospetti. In alcuni casi, la produzione dei template e dei testi è stata accelerata con strumenti di intelligenza artificiale generativa, capaci di adattare tono e dettagli al destinatario.

La seconda campagna è ancora più insidiosa perché sfrutta il tema passkey e la pressione psicologica. Gli attaccanti contattano le vittime via telefono o messaggistica, spacciandosi per help desk IT, e chiedono un aggiornamento urgente di passkey, MFA o SSO per evitare blocchi di accesso. La vittima viene poi indirizzata a siti contraffatti che riproducono la pagina di login Microsoft, spesso tramite SMS sul dispositivo personale. Da lì, gli aggressori possono usare tecniche adversary in the middle oppure flussi di device code authentication per ottenere accesso, talvolta senza dover rubare direttamente password o cookie.

Dopo l’accesso iniziale, l’obiettivo diventa la persistenza: vengono aggiunti metodi di autenticazione controllati dagli attaccanti, come numeri di telefono, app di autenticazione o token OTP software, così da aggirare MFA e mantenere l’accesso. Seguono attività ad alto volume su Microsoft Graph, download da SharePoint e OneDrive, ed estrazione di posta tramite API REST. Questo abuso è difficile da rilevare se si osserva una singola chiamata API, perché serve correlare eventi e comportamenti lungo la sequenza di attacco.