Check Point® Software Technologies Ltd (NASDAQ: CHKP), pioniere e leader globale nelle soluzioni di cyber security rileva che gli hacker stanno abbandonando sempre più spesso le pagine di accesso Microsoft contraffatte per sfruttarne invece l’infrastruttura di autenticazione legittima, consentendo alle campagne di phishing di eludere molti dei segnali di allarme che i dipendenti sono stati addestrati a riconoscere.
A partire dal 25 giugno fino alla seconda settimana di luglio, Check Point ha identificato oltre 200 e-mail di phishing rivolte a utenti di circa 120 organizzazioni, distribuite in un’ampia gamma di settori e Paesi in tutto il mondo. I messaggi si spacciavano per notifiche relative alle attività su Microsoft Teams inviate dall’ufficio Risorse Umane e indirizzavano i destinatari verso una pagina di accesso Microsoft legittima. Alle vittime veniva quindi richiesto di concedere autorizzazioni a un’applicazione controllata dall’autore dell’attacco, consentendo alla campagna di sfruttare il flusso di autenticazione affidabile di Microsoft nascondendo al contempo le proprie intenzioni malevole.
L’esca
Il messaggio si spaccia per una notifica di assegnazione di attività di Microsoft Planner. Il nome del mittente è “C’è una nuova attività su Teams” e l’oggetto è “HR@[azienda].com ha inviato 3 messaggi tramite la chat di Teams”. Il corpo del messaggio imita fedelmente lo stile di Teams e fa riferimento a un “Aggiornamento su stipendi, retribuzioni e benefici”, insieme a un contatore “4 attività dei dipendenti in ritardo” volto a creare un senso di urgenza e incoraggiare un clic immediato. Ogni link presente nel messaggio, compresi entrambi i pulsanti di invito all’azione, conduce allo stesso reindirizzamento. Anche l’indirizzo visibile del mittente appartiene all’organizzazione stessa del destinatario, il che significa che l’e-mail è stata inviata alla stessa persona da cui sembra provenire.
Il flusso dell’attacco
- L’utente fa clic sul link.
- Il link apre un URL di autorizzazione OAuth legittimo di login.microsoftonline.com, non un dominio simile, ed è proprio per questo che non sembra sospetto.
- L’accesso porta l’utente a una richiesta di autorizzazione “Approva le autorizzazioni” o “Accetta per conto della tua organizzazione”.
- Se l’approvazione viene concessa, Microsoft reindirizza il browser all’uri_redirect specificato nella richiesta originale. In questa campagna, si tratta di un endpoint di AWS API Gateway: un’infrastruttura controllata dall’autore dell’attacco, non da Microsoft.
- Il codice di autorizzazione (o token) viene inviato a quell’endpoint e l’autore dell’attacco lo scambia per ottenere l’accesso; l’ambito e l’impatto dipendono interamente dalle autorizzazioni concesse e dall’account che le ha approvate.
Questa tecnica è già diffusa e sta diventando sempre più comune. È una tecnica identificata e monitorata nel framework MITRE ATT&CK e, nel 2026, si è evoluta da un attacco mirato e realizzato manualmente a un servizio che praticamente chiunque può noleggiare.
Impatto sugli utenti privati e sulle aziende:
A seconda delle autorizzazioni che l’utente concede nella schermata di consenso, l’app controllata dall’autore dell’attacco può operare all’intero dell’ambiente Microsoft 365 della vittima:
- Posta elettronica — leggere, cercare e inviare messaggi dalla casella di posta della vittima (un trampolino di lancio comune per successive frodi BEC da un indirizzo interno affidabile)
- File — qualsiasi documento che l’utente possa aprire, scaricare o condividere
- Teams — chat, messaggi nei canali e conversazioni condivise
- SharePoint — siti aziendali, raccolte di documenti e contenuti interni a cui l’utente può accedere
- OneDrive — lo spazio di archiviazione cloud personale dell’utente
- Calendario — riunioni, inviti e dettagli sui partecipanti (utili per la ricognizione e per pianificare esche di follow-up convincenti)
I settori principalmente colpiti:
- Industria / Produzione — 39 e-mail (19,3%) relative a 15 organizzazioni
- Servizi legali / Professionali — 28 e-mail (13,9%) relative a 21 organizzazioni
- Organizzazioni no profit / Associazioni — 22 e-mail (10,9%) relative a 16 organizzazioni
- Amministrazione pubblica / Settore pubblico — 18 e-mail (8,9%) provenienti da 9 organizzazioni
- Sanità — 14 e-mail (6,9%) provenienti da 11 organizzazioni
- Altro
Sulla base dei risultati, i ricercatori di Check Point Email ritengono che gli autori degli attacchi abbiano smesso di falsificare la “porta d’ingresso” di Microsoft e abbiano iniziato a varcarla. Ogni schermata che la vittima vede è autentica. L’unico elemento falso nell’intera catena è l’intento che si cela dietro l’app che richiede l’accesso.
La campagna non è più attiva, ma costituisce l’ennesimo esempio di come gli autori degli attacchi abbiano cambiato radicalmente il modo in cui aggirano le tradizionali difese contro il phishing.
Raccomandazioni:
- Passare il mouse sui link prima di cliccarci sopra e verificare che la destinazione corrisponda al servizio a cui si fa riferimento nel messaggio. Diffidare se pulsanti diversi portano allo stesso URL.
- Verificare che il nome del mittente, il suo indirizzo e il dominio di invio siano coerenti. In questa campagna, il messaggio sembrava provenire dall’indirizzo e-mail dello stesso destinatario, mentre il nome visualizzato indicava che si trattasse di un’attività di Teams.
- Non fidarsi di un’e-mail semplicemente perché sembra provenire da un indirizzo interno. I nomi visualizzati e gli indirizzi del mittente possono essere falsificati o manipolati.
- In caso di dubbi, aprire Teams o altre applicazioni direttamente tramite l’app ufficiale, anziché utilizzare i link presenti nell’e-mail.
È fondamentale segnalare immediatamente i messaggi sospetti. Una segnalazione tempestiva consente ai team di sicurezza di indagare sull’applicazione, revocare i consensi malevoli, identificare gli account interessati e bloccare le attività correlate alla campagna.
***
Segui Check Point su LinkedIn, X, Facebook, Blog e YouTube
Check Point Software Technologies Ltd. (www.checkpoint.com) è un leader globale nella cyber security e protegge oltre 100.000 organizzazioni nel mondo. La sua missione è mettere in sicurezza la trasformazione delle imprese verso l’intelligenza artificiale. Con un approccio prevention-first e un’architettura open ecosystem, Check Point aiuta le organizzazioni a bloccare minacce avanzate, dare priorità alle esposizioni e automatizzare le operazioni di sicurezza in ecosistemi digitali complessi. La sua architettura unificata semplifica la protezione di reti ibride, ambienti multi‑cloud, digital workspace e sistemi AI. Articolata su quattro pilastri strategici — Hybrid Mesh Network Security, Workspace Security, Exposure Management e AI Security — Check Point garantisce protezione e visibilità coerenti in contesti multivendor, aiutando le aziende a ridurre il rischio, aumentare l’efficienza e accelerare l’innovazione senza aggiungere complessità.
