Microsoft avverte di esche basate su passkey e truffe con fatture che prendono di mira gli account cloud

Microsoft ha segnalato due distinte operazioni di phishing che sfruttano servizi affidabili, l'impersonificazione di dirigenti ed esche legate alle passkey per sottrarre denaro o ottenere accesso ad ambienti cloud aziendali.

Secondo Microsoft, una campagna ha inviato oltre un milione di email fraudolente nell'arco di tre giorni nell'agosto 2026. I messaggi impersonavano dirigenti di alto livello delle organizzazioni prese di mira e chiedevano al personale addetto alla contabilità fornitori di effettuare pagamenti ACH per un presunto rinnovo dell'abbonamento a ServiceNow. Gli obiettivi erano principalmente aziende statunitensi in settori quali servizi IT, beni di consumo, immobiliare e manifatturiero.

Gli operatori hanno utilizzato infrastrutture di recapito email di terze parti e registrato domini simili a quelli legittimi per rendere credibili le richieste. Secondo quanto riferito, i messaggi combinavano fatture false, catene di approvazione contraffatte, branding dei fornitori e firme che utilizzavano i nomi di dirigenti reali. Microsoft ha dichiarato che la campagna sembrava utilizzare l'IA generativa per produrre modelli di email personalizzati e bozze specifiche per ciascun destinatario.

Chiamate e messaggi a tema passkey

Una seconda serie di incidenti, osservata da maggio 2026, ha coinvolto tecniche di ingegneria sociale progettate per compromettere le identità cloud Microsoft. Gli attaccanti hanno contattato i dipendenti tramite numeri di telefono personali, messaggi SMS e, in alcuni casi, Microsoft Teams. Fingendosi personale del supporto IT, hanno esortato le vittime ad aggiornare le impostazioni di passkey, MFA o single sign-on per prevenire una presunta interruzione dell'account.

Le vittime venivano indirizzate a pagine di accesso contraffatte oppure guidate attraverso flussi di autenticazione adversary-in-the-middle e device code. Anziché sottrarre sempre le password, gli attaccanti potevano persuadere gli utenti ad approvare l'accesso o a registrare un metodo di autenticazione controllato dall'avversario.

Dopo aver ottenuto l'accesso, gli attori sono stati osservati aggiungere nuove opzioni MFA, svolgere attività sospette sull'API Microsoft Graph, scaricare dati da SharePoint e OneDrive e raccogliere informazioni sulle caselle di posta tramite API REST. In un caso, un accesso insolito da un dispositivo non gestito è stato seguito da tentativi di enumerare servizi interni e file sensibili.

Misure difensive

• Formare i team finanziari affinché verifichino in modo indipendente le richieste di modifica dei pagamenti o le richieste relative a fatture tramite canali di contatto noti.
• Richiedere una convalida fuori banda per le richieste all'help desk che riguardano MFA, passkey o registrazione dei dispositivi.
• Monitorare i metodi di autenticazione appena registrati, i dispositivi non familiari e l'attività anomala dell'API Graph.
• Limitare l'autenticazione tramite device code dove non necessaria e applicare criteri di accesso condizionale ai dispositivi non gestiti.

Microsoft ha collegato parti dell'attività a diversi cluster di minacce monitorati, osservando tuttavia che infrastrutture e tattiche di phishing condivise rendono difficile un'attribuzione definitiva.