Basta aprire un messaggio di posta elettronica e il gioco è fatto. Una nuova falla in Outlook, catalogata come CVE-2026-42897, sta creando parecchi grattacapi agli esperti di sicurezza informatica, perché cambia completamente le regole del gioco rispetto a quello che eravamo abituati a temere. Niente più link sospetti da cliccare, niente allegati da scaricare per sbaglio. Qui è sufficiente che l’email finisca sotto gli occhi della vittima, e il danno è già fatto.
Come funziona l’attacco half click
La tecnica in questione viene definita half-click, e il nome dice già molto. In pratica non serve alcuna interazione da parte di chi riceve il messaggio, se non la semplice apertura. È un salto di qualità notevole nelle strategie usate dai gruppi criminali, perché elimina quel margine di errore umano su cui di solito si contava per bloccare le minacce. Uno può essere attento quanto vuole, evitare di aprire allegati dubbi e non cliccare mai su link strani, eppure qui tutto questo non basta.
Alla base c’è una vulnerabilità di tipo XSS, sigla che sta per cross site scripting, individuata dentro Outlook Web Access, ovvero la versione del client di posta che si usa tramite browser. Sfruttando questa falla, gli aggressori riescono a far eseguire codice malevolo senza che la vittima si accorga di nulla. E il risultato è l’installazione silenziosa di un software dannoso pensato per restare nascosto il più a lungo possibile.
Chi c’è dietro e cosa rischiano gli obiettivi colpiti
A muovere le fila di questa campagna c’è un gruppo criminale filorusso identificato con la sigla TA488. Il loro strumento principale è una backdoor chiamata OWAReaper, e le sue caratteristiche sono ciò che preoccupa di più chi si occupa di difesa informatica. Non è la solita minaccia che si elimina con qualche accortezza di routine. Questa backdoor sopravvive al reset delle password e persino al reimaging, cioè alla reinstallazione completa del sistema operativo, operazione che di norma dovrebbe cancellare qualsiasi traccia di un’infezione.
Detto in parole semplici, anche dopo aver fatto pulizia totale sul dispositivo, il problema può restare lì, pronto a tornare operativo. Un incubo per chiunque gestisca la sicurezza di reti importanti, perché toglie fiducia perfino nelle procedure di ripristino considerate più sicure.
Gli obiettivi presi di mira non sono casuali. Nel mirino di TA488 sono finiti enti governativi e aziende situate sia negli Stati Uniti sia in Europa. Si tratta quindi di realtà con dati sensibili e infrastrutture di valore strategico, il tipo di bersaglio che questi gruppi tendono a preferire quando l’interesse va oltre il semplice guadagno economico.
La combinazione tra un exploit half-click, che azzera la necessità di ingannare l’utente, e una backdoor come OWAReaper, capace di resistere alle contromisure classiche, rende questa vicenda particolarmente insidiosa. Chi utilizza Outlook Web Access in contesti sensibili si trova davanti a una minaccia che sfida molte delle certezze accumulate negli anni sul fronte della protezione dei sistemi di posta elettronica.
