In questo articolo Indice dei contenuti 2 sezioni
Una singola autorizzazione concessa con troppa leggerezza può bastare per aprire la strada alla creazione di centinaia di identità di agenti AI dentro Microsoft Entra. È questo il cuore di BluePhishing, la tecnica di attacco scoperta da Proofpoint che sfrutta il consenso OAuth per introdurre nel sistema identità controllate dagli attaccanti. Il bersaglio quindi non è un errore nascosto nel codice ma la fiducia che la piattaforma ripone nelle autorizzazioni concesse, un elemento che rende la minaccia particolarmente insidiosa per la sicurezza aziendale.
Come funziona BluePhishing e perché preoccupa
Il meccanismo alla base di BluePhishing ruota attorno a un gesto apparentemente banale. Basta un’unica approvazione per mettere in moto un processo che può generare un numero molto elevato di identità di agenti AI, tutte riconducibili a chi ha orchestrato l’operazione. Il consenso OAuth diventa così la chiave d’ingresso e non serve forzare nulla, perché è il sistema stesso a riconoscere come legittimo ciò che è stato autorizzato.
Ed è proprio qui che la questione si fa delicata. Il nome scelto per la tecnica richiama il phishing tradizionale, quello costruito sull’inganno e sulla manipolazione della fiducia, ma lo trasferisce in un contesto diverso. Il bersaglio non è più soltanto la casella di posta o le credenziali di un dipendente. Al centro ci sono gli agenti AI, strumenti che le aziende integrano sempre più spesso nei propri flussi di lavoro e che dispongono di identità proprie all’interno di Microsoft Entra.
Una volta che queste identità sono state create e finiscono sotto il controllo degli attaccanti, il problema cambia scala. Non si parla di un singolo accesso abusivo ma di una moltiplicazione di presenze che si muovono dentro l’ambiente con l’apparenza della legittimità. Proprio questo aspetto, ovvero la possibilità di passare da una sola autorizzazione a centinaia di identità, rende la scoperta di Proofpoint così rilevante.
I rischi per la sicurezza aziendale
Il quadro che emerge da BluePhishing riguarda da vicino chiunque gestisca un’infrastruttura basata su Microsoft Entra. La piattaforma è pensata per amministrare identità e accessi, e la sua efficacia si regge su un principio semplice: ciò che è stato autorizzato viene considerato affidabile. La tecnica individuata sfrutta esattamente questa logica, piegandola a vantaggio di chi attacca.
Il rischio principale per la sicurezza aziendale sta nella difficoltà di distinguere le identità introdotte dagli attaccanti da quelle create per scopi leciti. Se tutto parte da un consenso OAuth formalmente valido, le identità generate non presentano necessariamente segnali evidenti di anomalia. A questo si aggiunge il fattore numerico, perché centinaia di agenti AI controllati dall’esterno rappresentano una superficie d’attacco ben più ampia rispetto a un singolo account compromesso.
C’è poi un aspetto legato alla natura stessa degli agenti. Sono identità che non corrispondono a persone in carne e ossa, e proprio per questo possono sfuggire ai controlli abituali pensati per gli utenti umani. La tecnica BluePhishing mette in luce come la diffusione dell’intelligenza artificiale nei sistemi aziendali porti con sé anche nuove modalità di abuso, legate non tanto alla tecnologia in sé quanto al modo in cui viene concessa e gestita la fiducia.
Il punto di partenza dell’intera catena resta comunque quella prima autorizzazione. È lì che si gioca la partita, perché da un solo consenso può discendere la creazione di centinaia di identità di agenti AI controllate dagli attaccanti all’interno di Microsoft Entra.
Fonte: TecnoAndroid