Come un finto helpdesk può aggirare la sicurezza delle passkey in Microsoft 365
La parte pericolosa non è la passkey in sé, ma il flusso di lavoro umano attorno al recupero dell'identità, dove urgenza e fiducia possono essere trasformate in un takeover dell'account.
Le passkey dovrebbero rendere più difficile il phishing. In pratica, questa promessa può essere indebolita da un trucco molto più vecchio: convincere un utente a modificare le regole di accesso. La campagna descritta qui usa telefonate, SMS e messaggi di Microsoft Teams per impersonare l'assistenza IT e spingere una richiesta urgente di aggiornamento di una passkey, di un'impostazione MFA o della configurazione SSO. Si tratta meno di una rottura crittografica e più di un'operazione di social engineering sul processo di identità stesso.
Dati rapidi
- L'attività è stata osservata da maggio 2026.
- Messaggi e chiamate impersonano l'helpdesk IT di un'organizzazione.
- L'esca fa pressione sugli utenti affinché cambino con urgenza le impostazioni di passkey, MFA o SSO.
- L'attività è associata al dirottamento di account Microsoft 365 e al furto di dati nel cloud.
- Gli strumenti di identità e collaborazione di Microsoft possono diventare un canale di fiducia se gli utenti non verificano le richieste fuori banda.
Che cosa cerca davvero l'attacco
Negli ambienti cloud in stile Microsoft, il livello di identità è il piano di controllo. Se un utente viene convinto ad approvare un reset, a registrare un nuovo metodo di accesso o ad accettare un cambiamento di sicurezza presumibilmente urgente, l'attaccante può ottenere accesso legittimo invece di credenziali rubate. Questo è importante perché il single sign-on può estendere un'identità compromessa a posta, archiviazione, chat e app di terze parti collegate allo stesso accesso.
Microsoft descrive le passkey come credenziali resistenti al phishing, ma la resistenza al phishing non copre ogni passaggio attorno ad esse. Il punto debole è spesso il flusso di recupero o di registrazione, dove richieste di supporto e azioni amministrative possono annullare la normale frizione dell'autenticazione. Dal punto di vista difensivo, la lezione è semplice: gli attaccanti non devono battere il fattore se possono convincere qualcuno a sostituirlo.
La messaggistica in stile Teams aggiunge un ulteriore livello di credibilità. Una chat da quello che sembra un supporto interno può sembrare più plausibile di una email casuale, soprattutto quando usa il linguaggio della perdita di accesso, della conformità alle policy o del blocco dell'account. Questo rende le procedure di verifica importanti quanto la tecnologia di autenticazione stessa.
Allo stesso tempo, il materiale fornito non stabilisce il percorso completo dopo il login, il numero di organizzazioni colpite o la quantità di dati sottratti. Le informazioni disponibili supportano una valutazione del rischio, non l'affermazione che ogni caso si sia concluso allo stesso modo.
I controlli difensivi dovrebbero concentrarsi sull'igiene del flusso di lavoro dell'identità: richiedere una conferma fuori banda per qualsiasi richiesta di modifica dei metodi di accesso, governare in modo rigoroso l'accesso temporaneo di recupero, monitorare le modifiche dei metodi di autenticazione e generare avvisi per modelli insoliti di contatto in stile helpdesk negli strumenti di collaborazione. In molti incidenti come questo, il controllo decisivo non è una sostituzione della password più forte - è un processo più rigoroso su chi può modificare lo stato dell'identità e su come quella modifica viene approvata.
Conclusione
La lezione più ampia è che le credenziali resistenti al phishing sono necessarie, ma non sufficienti. Se un'organizzazione lascia debole il proprio percorso di recupero, gli utenti possono essere ingannati fino ad aprire da soli la porta. Nella sicurezza cloud, il vero perimetro è spesso il flusso di fiducia attorno all'identità.
TECHCROOK
Chiave di sicurezza hardware: Una chiave FIDO2 fisica aggiunge un'opzione di accesso forte e resistente al phishing per email e account cloud. È utile quando si desidera un fattore separato non legato allo stesso laptop o telefono usato ogni giorno. Anche così, le organizzazioni hanno comunque bisogno di una rigorosa verifica dell'helpdesk e di procedure di recupero attente.
WIKICROOK
- Passkey: Un metodo di accesso crittografico progettato per resistere al phishing vincolando l'autenticazione al dispositivo dell'utente.
- MFA: Autenticazione multifattore, che richiede più di una prova di identità prima di concedere l'accesso.
- SSO: Single sign-on, un modello in cui un unico accesso all'identità può sbloccare più applicazioni collegate.
- Social engineering: Una tecnica di manipolazione che prende di mira la fiducia umana invece delle vulnerabilità del software.
- Flusso di recupero dell'identità: Il processo usato per ripristinare o reimpostare l'accesso, spesso un obiettivo ad alto rischio per gli attaccanti.
