Le passkey sono considerate una delle tecnologie più efficaci per ridurre il rischio di phishing, ma anche questo meccanismo può essere sfruttato come elemento di social engineering.
Microsoft ha individuato, infatti, una serie di intrusioni cloud nelle quali gli attaccanti utilizzano proprio il tema della configurazione o dell’aggiornamento delle passkey per convincere gli utenti a interagire con infrastrutture fraudolente.
L’attività, osservata almeno da maggio 2026, combina ingegneria sociale, compromissione delle identità e successivo accesso automatizzato alle risorse cloud.
Indice degli argomenti
La falsa assistenza del reparto IT
La campagna può iniziare con una telefonata o un messaggio inviato al numero personale del dipendente. L’interlocutore si presenta come un componente dell’help desk aziendale e comunica che è necessario aggiornare una passkey, configurare l’autenticazione multifattore o intervenire sul sistema SSO (Single Sign-On) per evitare problemi di accesso.
Alla vittima viene quindi fornito un collegamento che conduce a una pagina costruita per assomigliare ad un’autentica schermata di autenticazione Microsoft.
L’aspetto particolarmente significativo è che la passkey non rappresenta necessariamente l’obiettivo finale dell’attacco. Il suo utilizzo serve soprattutto a creare un pretesto credibile: la vittima può, infatti, essere indirizzata verso un attacco Adversary-in-the-Middle, nel quale vengono intercettate credenziali e token di sessione, oppure verso un flusso di autenticazione tramite codice dispositivo.
In quest’ultimo caso, l’utente può autorizzare inconsapevolmente un client controllato dall’attaccante.
Dall’identità compromessa alla persistenza
Una volta ottenuto l’accesso, l’attaccante cerca di trasformare la compromissione iniziale in una presenza più stabile all’interno dell’account.
Microsoft ha osservato casi nei quali vengono aggiunti nuovi metodi di autenticazione, come un dispositivo per Microsoft Authenticator, un numero telefonico o un token software. In questo modo il criminale inserisce un proprio fattore di autenticazione nell’identità compromessa e può tentare di mantenere l’accesso anche dopo la fase iniziale dell’attacco.
Questo passaggio modifica profondamente la natura dell’incidente. Non si tratta più soltanto del furto di una password o dell’intercettazione di una sessione. L’identità cloud stessa viene modificata per consentire all’attaccante di continuare a utilizzarla.
Microsoft Graph diventa uno strumento di ricognizione
Dopo aver consolidato l’accesso, gli attaccanti avviano attività di ricognizione attraverso Microsoft Graph. L’obiettivo è comprendere quali utenti, gruppi, applicazioni, autorizzazioni e risorse siano disponibili all’interno dell’ambiente compromesso.
Microsoft ha rilevato, inoltre, attività automatizzate associate all’utilizzo di Microsoft Graph, con infrastrutture e indirizzi IP differenti nelle varie fasi dell’intrusione. La compromissione di una singola identità può quindi diventare il punto di partenza per una conoscenza molto più ampia dell’ambiente Microsoft 365 target.
L’attaccante può individuare informazioni utili per proseguire l’operazione e identificare dati di interesse presenti nei servizi cloud. La fase successiva riguarda invece la raccolta dei dati. Microsoft ha osservato accessi ad alto volume a SharePoint Online e OneDrive for Business, con attività finalizzate alla ricerca e al download di documenti.
In alcuni casi, sono state inoltre raccolte informazioni dalle caselle Exchange attraverso l’accesso al contenuto delle e-mail basato su API REST (REpresentational State Transfer).
Un altro elemento rilevante è rappresentato dalla gradualità. Infatti, l’attività di raccolta secondo l’indagine potrebbe protrarsi per ore o giorni, mantenendo un ritmo sufficientemente controllato da rendere più difficile distinguere immediatamente il comportamento dell’attaccante dalle normali attività di un utente cloud.
Microsoft segnala, inoltre, che alcuni pattern automatizzati sono stati associati all’user agent Python HTTPX, precisando però che questo elemento, considerato isolatamente, non è sufficiente per classificare un’attività come malevola.
La sicurezza dell’identità diventa centrale
La campagna evidenzia come la protezione degli ambienti cloud non possa essere separata dalla sicurezza dell’identità. Un attacco iniziato con una telefonata e un falso messaggio sull’aggiornamento di una passkey può trasformarsi in una compromissione estesa dell’ambiente Microsoft 365.
Per questo motivo Microsoft raccomanda di correlare gli eventi relativi agli accessi anomali con la registrazione di nuovi metodi di autenticazione, l’attività di Microsoft Graph e gli accessi insoliti a SharePoint, OneDrive ed Exchange.
In presenza di una compromissione confermata è inoltre necessario revocare le sessioni attive e rimuovere i metodi di autenticazione non autorizzati. La lezione più importante riguarda quindi il modo in cui viene utilizzato il social engineering.
Gli attaccanti non devono necessariamente convincere la vittima a ignorare le misure di sicurezza. Possono invece presentarsi proprio come coloro che stanno cercando di aiutarla a configurarle. Il passkey diventa, così, non il punto debole della tecnologia, ma il pretesto utilizzato per manipolare il comportamento dell’utente e aprire la strada alla compromissione dell’identità.
Microsoft Threat Intelligence attribuirebbe l’attività di accesso iniziale osservata nella campagna a diversi gruppi di minacce, tra cui Storm-3121 e Storm-3032. Il primo è associato ad attività che possono sfociare in campagne di estorsione, mentre il secondo comprende attori precedentemente collegati a BlackFile e oggi operanti sotto il cartello criminale Helix.
Partecipa alla community