In questo articolo Indice dei contenuti 2 sezioni
Gli attacchi di phishing a tema passkey stanno diventando la via più rapida per svuotare gli account aziendali su Microsoft 365, e a dirlo è direttamente Microsoft. Da maggio 2026 l’azienda osserva una campagna condotta da gruppi legati all’ecosistema dell’estorsione, tra cui ShinyHunters e Helix, che punta tutto sulla buona fede dei dipendenti e su una scusa perfetta per i tempi che corrono: aggiornare urgentemente una passkey, un metodo di autenticazione a più fattori o la configurazione del single sign on.
Lo schema è quasi banale nella sua efficacia. Prima arriva la fase di studio, con la raccolta di informazioni su organigrammi, ruoli e nomi pescati da social network e piattaforme professionali. Poi parte la telefonata o il messaggio, con l’attaccante che si spaccia per l’help desk IT interno e avverte il dipendente che senza un intervento immediato perderà l’accesso ai sistemi aziendali. Il link arriva anche via SMS sul telefono personale e porta a pagine che imitano il login Microsoft.
La passkey è solo l’esca, il bersaglio è la sessione
Il dettaglio interessante è che nessuno sta davvero cercando di registrare una passkey. Il tema serve solo a costruire un pretesto credibile. L’obiettivo reale sono i siti di phishing adversary in the middle, capaci di intercettare credenziali e token di sessione, oppure i flussi di autenticazione tramite device code, dove la vittima viene convinta a inserire un codice fornito dall’attaccante sulla pagina di autenticazione legittima di Microsoft. In quel caso il token finisce a un’applicazione OAuth controllata dai criminali, che entrano senza dover superare nessuna verifica aggiuntiva.
I domini usati raccontano bene la strategia. Nomi come passkeyhelpdesk punto com, secure passkey punto com, setupmypasskey punto com, add passkey punto com, integratedsso punto com, oktasession punto com, keysyncos punto com e oskeysync punto com, spesso con il nome dell’azienda bersaglio infilato nel sottodominio per rendere il portale più convincente. Microsoft attribuisce l’accesso iniziale a più attori dello stesso giro, tra cui Storm 3121, collegato a ShinyHunters e alle estorsioni Falcon, e Storm 3032, ricondotto a membri del gruppo BlackFile che ora operano sotto il nome Helix. L’attività si sovrappone al cluster UNC6671 già documentato altrove, a sua volta legato a BlackFile, Helix, Falcon, Pink e Redact.
Cosa succede dentro il cloud dopo la compromissione
Una volta dentro, il comportamento è metodico. In un caso analizzato, l’accesso è arrivato da un dispositivo non gestito verso il servizio identificato nei log di Entra come OfficeHome. Superata l’autenticazione a più fattori, nel giro di pochi minuti la sessione è stata usata per consultare My Apps, My Profile, Microsoft Approval Management e My Sign Ins, cioè per capire cosa quell’account potesse toccare. Poi il passaggio a SharePoint Online, Outlook Web, i servizi di collaborazione e ricerca, un’applicazione aziendale interna e i flussi di autenticazione dei desktop virtuali. La sessione è rimasta attiva circa un’ora, il tempo di elencare file sensibili e applicazioni interne.
La persistenza arriva subito dopo, con la registrazione di nuovi numeri di telefono, app di autenticazione e token monouso software sull’identità compromessa. Un reset completo di credenziali e sessioni azzera tutto, ma fino a quel momento l’attaccante supera da solo qualsiasi richiesta di MFA. La ricognizione prosegue con Microsoft Graph, spesso guidata da sistemi automatici in Node.js, per enumerare licenze, utenti, gruppi, ruoli di directory, account privilegiati, metodi di autenticazione registrati, applicazioni, permessi OAuth, siti SharePoint, risorse OneDrive, cartelle di posta e allegati.
Poi comincia la raccolta vera. Microsoft ha registrato volumi elevati di eventi FileAccessed e FileDownloaded su SharePoint Online e OneDrive for Business, con alcune intrusioni estese a Exchange Online tramite accesso REST API ai contenuti delle email. Le connessioni usano lo user agent python httpx e il furto viene diluito tra poche ore e diversi giorni, restando sotto i 1.000 file o messaggi in un’ora per confondersi col traffico normale. Le raccomandazioni sono chiare: monitorare accessi anomali seguiti da nuove registrazioni MFA, revocare sessioni e token in caso di compromissione, rimuovere metodi di autenticazione e regole di posta aggiunti dagli attaccanti, adottare MFA resistente al phishing, limitare le risorse cloud sensibili ai dispositivi gestiti e disattivare l’autenticazione via device code quando non serve.
Fonte: TecnoAndroid
