Attacchi tramite Microsoft, Zoom e siti governativi: come difendersi

Se hai ricevuto un accesso Microsoft sospetto, un invito Zoom insolito o un messaggio da un portale istituzionale inatteso, fermati subito e verifica prima di cliccare. Questi canali vengono sempre più spesso usati come esca perché sembrano affidabili e abbassano la soglia di attenzione. La misura più utile è controllare l’origine del link, cambiare le credenziali solo da pagine ufficiali e revocare le sessioni attive se temi un furto di accesso.

Nel panorama delle minacce osservato a luglio 2026, gli aggressori hanno puntato meno sulla forza bruta e molto di più sulla fiducia. Invece di limitarsi a allegati sospetti o domini palesemente fraudolenti, hanno sfruttato servizi molto noti e flussi di lavoro quotidiani per arrivare agli utenti aziendali senza attirare subito l’attenzione.

Il risultato è stato un aumento di campagne che imitano l’ordinario: condivisioni documentali, moduli cloud, inviti a eventi, login Microsoft e persino siti pubblici apparentemente legittimi. In pratica, il trucco non è stato far sembrare il messaggio “tecnico”, ma farlo sembrare normale.

Perché questi attacchi funzionano

Uno dei motivi principali è che gli utenti e i controlli automatici tendono a fidarsi di piattaforme note. Quando un percorso passa da SharePoint, OneDrive, Microsoft Forms, Zoom o da un portale istituzionale, molte difese lo trattano come traffico legittimo fino a quando non è troppo tardi.

Questo approccio consente agli attaccanti di nascondere la fase iniziale dell’intrusione dietro infrastrutture familiari. La conseguenza è che il primo clic non sembra un errore evidente, ma un passaggio normale in un processo aziendale.

La strategia dei falsi servizi fidati

Tra le campagne più rilevanti c’è stata quella che ha usato luredoc condivisi e pagine in stile DocuSign per spingere gli utenti Microsoft 365 verso pagine di raccolta credenziali. Il vantaggio per gli aggressori è stato chiaro: il percorso di reindirizzamento assomigliava a un normale flusso amministrativo e quindi superava più facilmente i controlli e la diffidenza dell’utente.

Un’altra campagna ha sfruttato il flusso di autenticazione tramite device code di Microsoft. In questo caso, le vittime venivano indirizzate verso pagine autentiche di login Microsoft e convinte a inserire codici creati dagli aggressori. In questo modo i criminali ottenevano token OAuth invece delle password.

Questa differenza è fondamentale perché i token possono dare accesso persistente a posta, archivi e repository condivisi anche se l’utente cambia password. In altre parole, il reset della password non basta sempre a chiudere la porta.

Zoom e inviti a eventi usati come esca

Gli aggressori hanno anche trasformato pagine Zoom Event in un punto di ingresso per il phishing. Hanno creato finte conferenze e summit con brand riconoscibili, richiamando nomi molto noti del settore dell’intelligenza artificiale e della tecnologia per aumentare la probabilità di clic.

Il pulsante “Continue to register” non portava davvero a una registrazione legittima, ma a pagine di phishing basate su device code o a proxy adversary-in-the-middle. Questo schema è efficace perché l’utente pensa di completare una semplice iscrizione a un evento, non di autorizzare l’accesso ai propri account.

Portali governativi compromessi e fiducia pubblica sfruttata

In Brasile, una campagna ha compromesso oltre 20 portali municipali e di polizia con dominio .gov.br per ospitare malware. Gli attaccanti hanno sfruttato anche account email municipali compromessi per inviare messaggi che superavano le verifiche SPF, DKIM e DMARC.

Quando un messaggio sembra arrivare da un ente pubblico o da un indirizzo istituzionale credibile, la probabilità che venga aperto cresce. È proprio questa fiducia automatica che gli aggressori cercano di trasformare in un vantaggio operativo.

Cosa rubano davvero dopo l’accesso iniziale

Una volta ottenuto l’ingresso, i criminali non si limitano a una singola macchina. Strumenti modulari come infostealer e RAT possono raccogliere credenziali del browser, cookie di sessione, dati Outlook, profili VPN, login di FileZilla e persino wallet di criptovalute.

In alcune intrusioni, gli operatori hanno usato canali C2 in tempo reale per esfiltrare dati sensibili molto rapidamente. In un caso osservato, il furto di documenti, sessioni browser e log di messaggistica interna è avvenuto in meno di un’ora.

Perché i controlli tradizionali non bastano

Un problema ricorrente è la velocità con cui gli aggressori cambiano infrastruttura. Gli IOC statici, come domini o IP malevoli, invecchiano rapidamente e spesso non tengono il passo con campagne che ruotano continuamente domini, proxy e canali di comando.

Anche il semplice cambio password può essere insufficiente se restano validi token OAuth, cookie di sessione o accessi persistenti già autorizzati. Per questo la difesa deve andare oltre il blocco puntuale di indicatori noti.

Cosa fare subito per proteggersi

• Verifica sempre l’indirizzo reale del sito prima di inserire credenziali.
• Diffida di login Microsoft avviati da link ricevuti via email o chat.
• Non inserire codici device code se non hai avviato tu la procedura.
• Controlla e revoca le sessioni attive dopo qualsiasi sospetto.
• Abilita l’autenticazione forte e monitora gli accessi anomali.
• Segnala subito inviti Zoom, moduli cloud o portali pubblici insoliti.
• Aggiorna i sistemi endpoint per intercettare infostealer e RAT.

Come ridurre il rischio in azienda

Le difese più efficaci oggi combinano telemetria comportamentale, monitoraggio continuo delle sessioni e correlazione tra eventi. Questo approccio permette di individuare catene d’attacco multi-fase prima che l’aggressore si muova lateralmente nell’ambiente.

È utile anche limitare la fiducia implicita verso servizi cloud e portali esterni, soprattutto quando vengono usati come ponte verso sistemi interni. La sicurezza non deve basarsi solo su ciò che sembra legittimo, ma su ciò che è coerente con il comportamento atteso.

Technical Deep Dive

Le campagne osservate mostrano tre pattern tecnici ricorrenti: abuso dell’identità, abuso della reputazione dell’infrastruttura e persistenza post-compromissione.

Nel primo caso, il device-code phishing è particolarmente insidioso perché sfrutta un flusso OAuth legittimo. L’aggressore genera un codice, convince la vittima a completare l’autenticazione su un endpoint autentico e ottiene token delegati che possono restare validi anche dopo il cambio password, finché non vengono revocati esplicitamente.

Nel secondo caso, l’uso di SharePoint, OneDrive, Zoom Event e pagine istituzionali compromesse serve a superare controlli che si affidano troppo alla reputazione del dominio. Questo è un problema tipico dei filtri che analizzano il contenuto in modo troppo superficiale: il primo hop sembra innocuo, ma la catena completa conduce a credential harvesting, AiTM proxy o download di payload malevoli.

Nel terzo caso, infostealer e RAT moderni puntano all’estrazione massiva di sessioni e dati di browser perché questi elementi offrono accesso rapido a servizi SaaS, VPN e canali di comunicazione. Cookie e token rubati possono rendere inutile il solo reset della password; servono revoca delle sessioni, invalidazione dei token, rotazione delle chiavi e verifica dei dispositivi autorizzati.

Dal lato difensivo, la priorità è integrare segnali di identità, endpoint e rete in un’unica vista. Le regole statiche sugli IOC vanno affiancate da rilevamento di anomalie su login, uso improprio di device code, creazione sospetta di link di condivisione, accessi da geo-impronte incoerenti e aumento improvviso di attività su mailbox o repository condivisi.

Per ambienti Microsoft 365, è utile verificare regolarmente i consensi OAuth concessi, monitorare le app registrate di recente e controllare eventuali persistenze basate su sessione. Per i flussi Zoom e simili, conviene ispezionare gli URL di registrazione, i redirect intermedi e la presenza di domini lookalike. Per i portali pubblici o municipali, invece, la minaccia principale è la fiducia impropria: un dominio istituzionale compromesso non è automaticamente sicuro.

In sintesi operativa, la difesa più robusta combina revoca rapida delle sessioni, monitoraggio continuo dell’identità, telemetria endpoint avanzata e correlazione tra campagne per riconoscere la stessa infrastruttura malevola anche quando cambia pelle.

Fonte: https://cybersecuritynews.com/hackers-turned-microsoft-logins-into-attack-tools/