In questo articolo Indice dei contenuti 2 sezioni
Il rientro in ufficio dopo le ferie è uno dei momenti più scomodi dell’anno per la cybersicurezza aziendale, e non serve un reparto IT enorme per accorgersene. Bastano pochi giorni di caselle di posta piene, riunioni online che si accavallano e file condivisi che rimbalzano da un collega all’altro perché la soglia dell’attenzione si abbassi. È esattamente lì che si infilano i criminali informatici, camuffando i loro tentativi da normalissime comunicazioni di lavoro. Un’analisi pubblicata da Kaspersky, costruita su dati raccolti tra luglio 2025 e giugno 2026, ha individuato oltre 4,7 milioni di tentativi di attacco che sfruttavano il nome o l’aspetto grafico di piattaforme e strumenti diffusissimi negli uffici.
Il meccanismo è tanto banale quanto efficace. Chi rientra si trova davanti decine di notifiche arretrate e tende a cliccare in fretta, senza guardare troppo il mittente o l’indirizzo reale di un link. Un invito a una videochiamata, una notifica di documento condiviso, un promemoria di calendario: tutte cose che a settembre o a gennaio arrivano a decine, e che nessuno legge con la lente d’ingrandimento.
Zoom e Outlook sono i marchi più sfruttati dagli attacchi
Nella classifica dei brand imitati Zoom occupa il primo posto con oltre 2,6 milioni di rilevamenti, un numero che dice parecchio su quanto le videoconferenze siano ormai il tessuto connettivo di qualsiasi organizzazione. Subito dietro si piazza Outlook con circa 1,5 milioni di casi. Completano il quadro OneDrive, Microsoft Excel e Microsoft Teams, cioè gli strumenti che una persona apre praticamente ogni mattina senza pensarci.
Sul fronte delle minacce vere e proprie, la categoria più numerosa è quella dei downloader, con oltre 2,7 milioni di riscontri. Sono file che di per sé non combinano danni evidenti, il loro unico compito è aprire la porta e scaricare il malware vero. Proprio questa apparente innocuità li rende difficili da intercettare a occhio nudo. Al secondo posto arrivano i trojan, quasi un milione di casi, programmi che si travestono da applicazioni legittime per rubare dati, spiare l’attività dell’utente o consegnare agli aggressori un accesso remoto alla macchina. Poi ci sono gli exploit, che invece puntano dritti alle vulnerabilità non corrette di sistemi operativi e software.
Il device code phishing aggira le difese classiche
La parte più interessante dell’analisi riguarda però una tecnica emergente, chiamata device code phishing, che ribalta le regole a cui ci si è abituati. Fino a ieri il consiglio standard era controllare l’indirizzo della pagina di login: se il dominio è strano, non inserire nulla. Qui quel controllo non serve, perché la pagina è autentica.
Funziona così: la vittima riceve un codice temporaneo e viene invitata a inserirlo su una vera pagina Microsoft. L’autenticazione avviene su un sito legittimo, senza schermate contraffatte, senza errori di ortografia sospetti, senza certificati fasulli. Solo che con quel gesto l’utente autorizza inconsapevolmente un’istanza di applicazione o servizio che è sotto il controllo degli attaccanti. Da quel momento chi sta dall’altra parte può leggere email, aprire i file archiviati su OneDrive, scorrere i messaggi scambiati su Teams.
È un approccio subdolo perché sfrutta un flusso di autorizzazione pensato per casi legittimi, come l’accesso da dispositivi senza tastiera comoda, e lo piega a scopi ostili. E soprattutto perché non lascia quei segnali visivi che nei corsi di formazione interna vengono ripetuti da anni.
