Gli aggressori compromettono Microsoft 365 tramite Entra Passkey truffatori

Introduzione: Una nuova e sofisticata minaccia nel panorama della sicurezza informatica

Il panorama delle minacce informatiche continua a evolversi a un ritmo allarmante, con gli aggressori che trovano costantemente modi nuovi e ingegnosi per aggirare le misure di sicurezza tradizionali. Nel 2026, i ricercatori di sicurezza informatica hanno identificato una campagna di attacco altamente sofisticata che prendeva di mira gli utenti. Microsoft 365, sfruttando proprio i moderni meccanismi di autenticazione che le organizzazioni hanno adottato per aumentare la propria sicurezza. Gli aggressori utilizzano pagine di registrazione della password false Microsoft Consente di compromettere gli account e ottenere accesso non autorizzato all'infrastruttura delle organizzazioni prese di mira. Questa tattica rappresenta uno sviluppo preoccupante, in quanto sfrutta la fiducia degli utenti nelle tecnologie FIDO2 e di autenticazione senza password, precedentemente considerate tra i metodi di autenticazione più sicuri disponibili.

Di cosa si tratta Microsoft Cos'è Passkey e perché è un bersaglio per gli hacker?

Microsoft Entra, precedentemente nota come Azure Active Directory è la piattaforma centrale per la gestione delle identità e degli accessi dell'intero ecosistema. Microsoft 365 Le chiavi di accesso integrate in Microsoft Entra sono credenziali FIDO2 che consentono l'autenticazione senza password, basandosi sulla crittografia a chiave pubblica per eliminare le vulnerabilità associate alle password tradizionali. Quando un utente registra una passkey, il suo dispositivo genera una coppia di chiavi crittografiche: la chiave privata rimane memorizzata in modo sicuro sul dispositivo (spesso protetta da un elemento hardware come un TPM o un Secure Enclave), e la chiave pubblica viene trasmessa e memorizzata sui server del Microsoft Entra.

È proprio questa percezione di sicurezza superiore a rendere le password un obiettivo appetibile per gli aggressori. Gli utenti che hanno adottato l'autenticazione senza password tendono ad essere meno vigili, ritenendosi protetti contro il phishing tradizionale. Ma gli aggressori hanno individuato un punto debole critico: il momento in cui viene registrata una nuova password. Se un utente viene indotto con l'inganno a registrare una password su una piattaforma controllata dagli aggressori, l'intero sistema di sicurezza crolla, dando alla vittima pieno accesso al proprio account.

Anatomia dell'attacco: come funziona lo spoofing della password di Entra

Fase 1: Avvio del contatto e pretesto sociale

La campagna d'attacco di solito inizia con una tecnica di ingegneria sociale ben sviluppata. Le vittime ricevono e-mail o notifiche che sembrano provenire dal reparto IT della loro organizzazione o direttamente da Microsoft, chiedendo loro di aggiornare i propri metodi di autenticazione per conformarsi alle nuove politiche di sicurezza. I messaggi sono attentamente studiati per imitare le comunicazioni ufficiali. Microsoft, inclusi loghi autentici, formati email simili a quelli reali e indirizzi del mittente che, a un primo sguardo, appaiono legittimi. L'urgenza artificiale creata da questi messaggi ("Il tuo account verrà bloccato tra 24 ore se non aggiorni le tue credenziali") amplifica la pressione psicologica sulla vittima e riduce il tempo per una riflessione critica.

Passaggio 2: Pagina di registrazione della password falsa

Una volta che la vittima clicca sul link presente nel messaggio, viene reindirizzata a una pagina web che imita fedelmente l'interfaccia autentica del portale. Microsoft Entra. Queste pagine false sono ospitate su domini dall'aspetto legittimo, a volte utilizzando tecniche di typosquatting o sottodomini contenenti parole chiave affidabili. Piace "microsoft“”, “enter”, “login” o “secure”. La pagina fasulla avvia un apparente flusso di registrazione di una nuova password, chiedendo all'utente di seguire i passaggi standard: verifica dell'identità, autorizzazione del dispositivo e conferma della registrazione.

Dal punto di vista tecnico, l'attacco funziona tramite un meccanismo di tipo Avversario nel mezzo (AiTM)Il server dell'attaccante funge da proxy tra la vittima e i servizi autentici. Microsoftintercettando sessioni e token di autenticazione in tempo reale. Catturando cookie di sessione validi e token OAuth, l'attaccante può assumere il controllo dell'account senza conoscere la password della vittima o avere il possesso fisico del suo dispositivo. Questo approccio è particolarmente pericoloso perché aggira la tradizionale autenticazione a più fattori (MFA) basata su SMS o applicazioni TOTP.

Passaggio 3: Registrazione della password controllata dall'attaccante

Dopo aver intercettato la sessione autenticata, l'aggressore procede a registrare la propria password nell'account della vittima tramite il portale. Microsoft Entrare legalmente. Questa azione fornisce all'attaccante un metodo di autenticazione persistente e difficile da rilevare., perché la passkey appare nei log come un'aggiunta legittima delle credenziali da parte dell'utente autorizzato. Da ora in poi, l'attaccante può accedere all'account Microsoft Possono accedere al proprio account 365 quando vogliono, senza generare avvisi di autenticazione sospetti, perché utilizza un metodo di autenticazione forte, riconosciuto e approvato dal sistema.

Impatto sull'ecosistema Microsoft 365

Compromissione di un account Microsoft La violazione dell'autorizzazione di Microsoft 365 tramite una password non autorizzata consente all'attaccante di accedere a un vasto ecosistema di dati e servizi aziendali. Tra le risorse esposte figurano:

Exchange Online e tutte le tue email, calendari e contatti archiviati su SharePoint e OneDrive, insieme ai documenti e ai file sensibili della tua organizzazione.Microsoft Team, che possono contenere conversazioni riservate e file condivisi Applicazioni integrate tramite Azure AD, inclusi sistemi o piattaforme CRM, ERP cloud accesso di terze parti Azure Gestore delle risorse se l'account dispone di autorizzazioni amministrative. La possibilità di lanciare attacchi laterali contro altri utenti nell'organizzazione.

Un aspetto particolarmente preoccupante è che l'attaccante, una volta consolidatosi nell'ecosistema, può utilizzare l'account compromesso per lanciare successive campagne di phishing interne, sfruttando la fiducia che i colleghi della vittima ripongono nelle comunicazioni provenienti da un indirizzo familiare e verificato. Questa escalation dei privilegi e la mobilità laterale trasformano un singolo account compromesso in un punto di accesso per una violazione della sicurezza a livello dell'intera organizzazione.

Tecniche di elusione e persistenza utilizzate dagli aggressori

Camuffarsi nei tronchi ed evitare di essere scoperti

Uno dei motivi per cui questa campagna è particolarmente pericolosa è la capacità degli aggressori di eludere il rilevamento da parte dei tradizionali sistemi di monitoraggio. Poiché l'accesso avviene tramite una password valida, gli eventi di autenticazione vengono registrati come normali attività., senza alcun indicatore evidente di compromissione. I team di sicurezza che non hanno implementato un monitoraggio specifico della registrazione di nuovi metodi di autenticazione rischiano di non rilevare questa attività dannosa. Gli aggressori possono pianificare gli accessi al di fuori dell'orario lavorativo o da posizioni geografiche che, sebbene diverse da quelle abituali della vittima, non attivano policy di accesso condizionale configurate in modo errato.

Utilizzo delle infrastrutture cloud legittimo

Un'altra tattica di elusione osservata in questa campagna consiste in utilizzo dei servizi cloud legittimo per ospitare pagine di phishingGli aggressori hanno fatto ricorso a piattaforme come Azure Applicazioni Web statiche, CloudUtilizzate Flare Pages o altri servizi di hosting affidabili per evitare di inserire domini dannosi nella blacklist. La presenza di un certificato TLS valido e di un dominio di hosting affidabile impedisce alle soluzioni di sicurezza basate sulla reputazione degli URL di segnalare queste pagine come minacce. Inoltre, alcune di queste pagine hanno implementato tecniche di fingerprinting per rilevare gli accessi da ambienti sandbox o da indirizzi IP associati a soluzioni di sicurezza, visualizzando in questi casi contenuti innocui e la pagina di phishing solo agli utenti reali.

Vettori di distribuzione e obiettivi preferenziali

I ricercatori hanno individuato diversi metodi attraverso i quali le vittime vengono attirate verso pagine di registrazione false per la richiesta di password. I principali vettori di attacco includono:

Campagne di spear-phishing via e-mail, personalizzate per ogni organizzazione target.

Messaggi diretti tramite Microsoft Teams, inviati da account precedentemente compromessi

Annunci a pagamento sulle piattaforme dei social media che imitano le comunicazioni ufficiali. Microsoft

Reindirizzamenti da siti web compromessi che iniettano popup o reindirizzamenti

• Invio di messaggi SMS di smishing che affermano di provenire dall'assistenza tecnica. Microsoft

Per quanto riguarda gli obiettivi, La campagna sembra essere mirata alle organizzazioni dei settori finanziario, sanitario, della pubblica amministrazione e tecnologico., ovvero domini con un elevato valore di dati e una forte pressione normativa per l'adozione di metodi di autenticazione moderni. Gli account di amministratore di sistema e di dirigente sono obiettivi primari a causa degli ampi privilegi di cui godono.

Misure di protezione e raccomandazioni degli esperti

Configurazione delle politiche di accesso condizionale

La prima linea di difesa è costituita da implementazione e configurazione corretta delle politiche di accesso condizionale in Microsoft ID dell'ingressoLe organizzazioni dovrebbero configurare policy che limitino la registrazione di nuovi metodi di autenticazione ai soli dispositivi conformi e alle posizioni di rete attendibili. Questa misura impedisce che un utente malintenzionato, in possesso di un token di sessione valido, possa registrare una password da una posizione arbitraria. Si raccomanda inoltre di implementare la policy "Metodi di autenticazione" a un livello granulare, definendo chiaramente chi può registrare quali tipi di credenziali e a quali condizioni.

Monitoraggio degli eventi di registrazione delle credenziali

I team di sicurezza (SOC) devono implementare avvisi specifici per gli eventi che registrano nuovi metodi di autenticazione, soprattutto per le chiavi di accesso e le chiavi FIDO2. In Microsoft Entra ID, questi eventi vengono registrati nei log di controllo nella categoria "Metodi di autenticazione". La configurazione di avvisi in tempo reale per questi eventi, correlati con l'analisi di posizione, dispositivo e comportamento precedente dell'utente, può consentire l'individuazione precoce di attività sospette. L'integrazione con una soluzione SIEM (Security Information and Event Management) permette di correlare questi eventi con altri indicatori di compromissione.

Formazione e sensibilizzazione degli utenti

L'aspetto umano rimane fondamentale nella lotta contro questi attacchi. Gli utenti devono essere istruiti a prestare la massima attenzione quando ricevono richieste di aggiornamento dei metodi di autenticazione.anche se sembrano provenire da fonti legittime. Dovrebbero sempre controllare l'URL della pagina di registrazione, contattare direttamente il reparto IT in caso di dubbi e non cliccare su link in email non richieste relative a operazioni di sicurezza sensibili. Le simulazioni di phishing che includono scenari di phishing per la chiave di accesso possono contribuire ad aumentare la consapevolezza tra i dipendenti.

Implementazione del principio di gestione delle identità privilegiate

Per gli account con privilegi elevati, Microsoft Entra Privileged Identity Management (PIM) fornisce un ulteriore livello di protezione Implementando l'accesso just-in-time e l'approvazione manuale per l'attivazione dei ruoli amministrativi, questa misura riduce significativamente il margine di manovra di un malintenzionato, anche nel caso in cui un account amministrativo venga compromesso, poiché i privilegi elevati non sono attivi in ​​modo permanente e richiedono un'ulteriore approvazione per l'attivazione.

Implicazioni per l'architettura Zero Trust

Questa campagna di attacchi mette in luce un'importante lezione per le organizzazioni che implementano architetture Zero Trust: Nessuna tecnologia di autenticazione, per quanto avanzata, è immune alla manipolazione tramite ingegneria sociale. Il principio "mai fidarsi, sempre verificare" deve essere esteso oltre la verifica delle credenziali tecniche, includendo la validazione del contesto completo di ogni richiesta di accesso e, in particolare, di ogni modifica ai metodi di autenticazione. Le architetture Zero Trust mature prevedono il monitoraggio continuo del comportamento, la valutazione del rischio in tempo reale e la capacità di revocare l'accesso istantaneamente in caso di rilevamento di anomalie.

Le organizzazioni dovrebbero trattare il processo di registrazione delle chiavi di accesso con lo stesso livello di cura e controllo riservato a qualsiasi altra operazione amministrativa critica., implementando flussi di approvazione, notifiche fuori banda e controlli di identità aggiuntivi per queste azioni sensibili.

Conclusione: la continua evoluzione delle minacce informatiche

Campagna di phishing con false password per Microsoft Entra rappresenta una chiara dimostrazione di come gli aggressori si stiano rapidamente adattando alle tecnologie di sicurezza in continua evoluzione, trasformando talvolta l'innovazione stessa in materia di sicurezza in un vettore di attacco. Adottare l'autenticazione senza password e le chiavi di accesso FIDO2 rimane la direzione giusta e consigliata.Tuttavia, le organizzazioni devono comprendere che la sola implementazione tecnica non è sufficiente. Il successo di una strategia di sicurezza dipende dalla combinazione di una tecnologia robusta, una configurazione corretta, un monitoraggio continuo e una cultura della sicurezza aziendale ben sviluppata. Poiché le minacce diventano sempre più sofisticate, investire nella formazione continua dei professionisti della sicurezza informatica non è più un'opzione, ma una necessità strategica per qualsiasi organizzazione che desideri proteggere le proprie risorse digitali.

Sicuramente hai capito a cosa sono collegate le novità del 2026 cybersecuritySe sei interessato ad approfondire le tue conoscenze nel settore, ti invitiamo ad esplorare la nostra gamma di corsi strutturati per ruoli e categorie in Cybersecurity Hub. Che tu sia alle prime armi o voglia migliorare le tue competenze, abbiamo il corso adatto a te.