Una mail segnala che la casella è piena, un PDF richiama una fattura o un problema di conformità, il link che apre persino una pagina Microsoft autentica. Sono le nuove esche osservate nelle nuove campagne di phishing rivolte ad aziende e dipendenti, capaci di rubare l’accesso a Outlook, OneDrive e Microsoft 365 oppure di installare malware sui computer. L’Email Threat Radar 2026 dal Threat Analyst Team di Barracuda individua quattro tecniche emergenti che sfruttano servizi affidabili e documenti comuni per eludere i controlli tradizionali.
In sintesi:
- una pagina autentica può consegnare agli aggressori il token utilizzato per accedere ai servizi aziendali;
- un allegato può nascondere il link malevolo e indirizzare verso una falsa autorizzazione del dispositivo;
- un singolo pulsante può aprire destinazioni diverse secondo l’area selezionata;
- un falso PDF può avviare il download di JavaScript o malware capaci di agire nella memoria del computer.
Le quattro truffe email individuate da Barracuda
Le nuove truffe email puntano a confondere sia il dipendente sia i sistemi automatici che analizzano link, allegati e pagine di destinazione. La credibilità deriva dall’uso di domini Microsoft reali, inviti di calendario, CAPTCHA, file PDF e pagine che scompaiono dopo poche ore.
Le infrastrutture Tycoon 2FA e Sneaky 2FA appartengono al modello Phishing-as-a-Service, attraverso il quale gli aggressori possono acquistare strumenti già predisposti per creare messaggi, pagine di accesso e meccanismi di intercettazione delle sessioni.
| Tecnica di attacco | Meccanismo della truffa |
|---|---|
| Pagina Microsoft autentica sfruttata dai criminali | Un falso avviso sulla casella piena conduce a una procedura Microsoft legittima collegata a un’applicazione controllata dagli aggressori, che intercettano il token di sessione e tentano di acquisire anche la password. |
| Link di phishing nascosto in un PDF | Un allegato relativo a pagamenti o conformità contiene un collegamento verso una falsa procedura di autorizzazione del dispositivo, costruita per sottrarre credenziali e indirizzi aziendali. |
| Pulsante con due destinazioni | La stessa immagine cliccabile apre una pagina sicura oppure il sito di phishing secondo il punto selezionato, rendendo meno efficaci i controlli automatici sul collegamento. |
| Falso documento che distribuisce malware | Una fattura o un file presentato come PDF, OneDrive o Excel avvia il download di JavaScript o di codice malevolo destinato a rubare dati e compromettere il dispositivo. |
Il falso avviso Microsoft che ruba la sessione
Il primo attacco usa una vera pagina di autenticazione Microsoft per ottenere l’accesso alla posta, ai file online e agli altri servizi collegati all’account Microsoft 365. La vittima riceve un avviso sulla casella quasi piena, accompagnato da un invito di calendario attribuito alla sicurezza Microsoft.
Il pulsante inserito nel messaggio conduce alla procedura di accesso del dominio Microsoft, collegata a un’applicazione registrata dagli aggressori. Dopo l’inserimento delle credenziali viene generato un token di sessione, la prova digitale che consente all’utente già autenticato di usare i servizi senza digitare nuovamente la password.
Il token viene intercettato e può consentire un accesso prolungato, soprattutto quando l’applicazione malevola riceve il permesso denominato offline_access. Una seconda schermata contraffatta chiede poi di ripetere la password, consegnando agli aggressori anche le credenziali complete.
Il PDF che porta alla falsa autorizzazione del dispositivo
Il secondo attacco colloca il link di phishing nel PDF, lasciando il corpo dell’email privo di indirizzi sospetti facilmente rilevabili dagli scanner. Il messaggio richiama un pagamento bloccato, una verifica di conformità o un documento che richiede attenzione.
Il collegamento contenuto nell’allegato apre una falsa procedura di autenticazione tramite codice dispositivo. La grafica riproduce quella utilizzata per associare applicazioni, televisori o dispositivi a un account Microsoft e chiede alla vittima di comunicare credenziali e indirizzo email aziendale.
La campagna analizzata da Barracuda genera codici falsi direttamente nel browser, utilizza un CAPTCHA per fermare i sistemi automatici e impiega pagine programmate per cancellarsi dopo un intervallo prestabilito. Questa durata limitata rende più difficile ricostruire l’attacco dopo la segnalazione.
Lo stesso pulsante che nasconde due destinazioni
Lo split-click assegna due risultati differenti allo stesso pulsante. Nell’attacco rilevato dai ricercatori, la parte superiore del comando “Resolve Issue” apre una pagina Microsoft legittima, mentre la parte inferiore conduce all’infrastruttura di phishing Sneaky 2FA.
La destinazione malevola utilizza un blob URL, ossia una pagina generata dal browser durante la navigazione, per trasferire l’utente verso il sito che raccoglie credenziali e dati sensibili. Questi indirizzi dinamici risultano più difficili da analizzare e bloccare con regole statiche.
Il doppio comportamento può ingannare anche i sistemi di controllo che selezionano automaticamente un’area del pulsante e vedono soltanto la destinazione sicura. Per il dipendente diventa quindi rischioso fidarsi del risultato ottenuto passando il mouse sopra il comando o eseguendo una verifica superficiale.
La falsa fattura che porta il malware sul computer
Il quarto gruppo di campagne trasforma il phishing in un canale per la distribuzione di malware. Un messaggio presentato come notifica di fattura mostra un file chiamato “Invoice.pdf”, mentre il collegamento avvia il download di un file JavaScript.
Il codice nocivo viene nascosto attraverso tecniche di offuscamento e può raccogliere informazioni sul computer, mantenere l’accesso al sistema e scaricare ulteriori componenti. Un meccanismo simile è già comparso nelle false fatture inviate via PEC, nelle quali l’affidabilità apparente del canale favorisce l’apertura dell’allegato.
Un’altra campagna osservata da Barracuda distribuisce malware fileless, eseguito direttamente nella memoria del computer attraverso componenti Windows. Questa tecnica riduce le tracce lasciate sul disco e può installare programmi per il furto delle credenziali, trojan bancari o altri payload, compresi quelli utilizzati negli attacchi ransomware contro le PMI.
La sequenza può includere anche più impersonificazioni: un file HTML apre un falso ambiente OneDrive, che conduce a una schermata contraffatta di Excel. La successione di servizi familiari aumenta la credibilità dell’attacco e nasconde più a lungo la destinazione finale.
I segnali da controllare prima di cliccare
La presenza di un dominio conosciuto o di un allegato PDF offre ormai poche garanzie. Il controllo deve riguardare l’intera richiesta, la sua coerenza con l’attività aziendale e le autorizzazioni visualizzate durante l’accesso.
Le verifiche più utili sono:
- l’avviso sulla casella piena viene controllato aprendo Microsoft 365 da un collegamento salvato o digitato direttamente nel browser;
- l’invito di calendario viene confrontato con gli appuntamenti aziendali e con il mittente indicato;
- la richiesta di autorizzare un’applicazione viene interrotta quando compaiono permessi su posta, file o accesso offline;
- il mittente di fatture, pagamenti e documenti di conformità viene contattato attraverso un recapito già conosciuto;
- le estensioni reali dei file scaricati vengono visualizzate, distinguendo PDF, HTML, JavaScript e archivi compressi.
Le azioni immediate dopo un clic sospetto
La risposta dipende dall’azione già compiuta e dal livello di esposizione. Una segnalazione tempestiva consente al reparto IT di bloccare account, indirizzi e dispositivi prima che l’accesso venga sfruttato su altri servizi.
| Azione compiuta | Risposta immediata |
|---|---|
| Apertura della sola email | Segnalare il messaggio come phishing e conservarne intestazioni e contenuto per l’analisi |
| Apertura del PDF o del link | Chiudere la pagina, avvisare il referente IT e controllare download e attività del browser |
| Inserimento di password o codice | Bloccare l’account, revocare le sessioni, cambiare password e verificare metodi MFA e applicazioni autorizzate |
| Esecuzione di un file | Isolare il computer dalla rete e avviare la procedura aziendale di risposta agli incidenti |
Dopo l’inserimento delle credenziali Microsoft, il cambio della password deve essere accompagnato dalla revoca delle sessioni e dei refresh token. Vanno inoltre controllati gli accessi recenti, le regole di inoltro della posta, i metodi di autenticazione aggiunti e le applicazioni che hanno ricevuto il consenso dell’utente.
Quando è stato eseguito un file JavaScript, HTML o un programma inatteso, il dispositivo deve essere isolato dalla rete aziendale. Il reparto tecnico potrà analizzare processi, connessioni, persistenza e attività degli account utilizzati su quel computer.
Le difese da attivare su Microsoft 365
La protezione di Microsoft 365 deve estendersi a identità, token, allegati, calendario e autorizzazioni OAuth. I soli controlli sul testo dell’email e sugli indirizzi presenti nel messaggio coprono una porzione limitata delle tecniche osservate.
Le misure aziendali da valutare comprendono:
- il flusso di autenticazione tramite codice dispositivo viene bloccato con Conditional Access quando l’azienda non lo utilizza;
- le eventuali eccezioni vengono limitate agli account e ai dispositivi aziendali che ne hanno una necessità documentata;
- l’autenticazione resistente al phishing viene applicata attraverso passkey FIDO2, chiavi di sicurezza o Windows Hello for Business;
- i consensi OAuth, gli inviti di calendario e gli accessi anomali vengono sottoposti a monitoraggio;
- le simulazioni periodiche includono PDF, richieste di consenso, allegati malware e false notifiche Microsoft;
- la protezione degli endpoint analizza script, attività in memoria e download generati dal browser.
Il coinvolgimento del personale completa le difese tecniche. Il livello di maturità cyber delle PMI italiane dipende anche dalla capacità di riconoscere richieste anomale e segnalarle senza ritardi, prima che una singola casella compromessa venga utilizzata per colpire colleghi, clienti e fornitori.
