Gli hacker sfruttano l'interruzione del servizio di Microsoft 365 con false esche sotto forma di “messaggi in attesa”

A poche ore dall’interruzione del servizio Microsoft 365 avvenuta il 12 novembre 2026, abbiamo iniziato a rilevare e-mail di phishing che sfruttano l’interruzione come esca. I messaggi si presentano come avvisi relativi ai servizi Microsoft, con nomi visualizzati quali “Service Health”, “Mail-Restore-Auth” e “Health Status” e oggetti che iniziano con “Outage -”, “Restore –” e “Strengthen-Security”. Ciascuna di esse spinge il destinatario a cliccare su un pulsante, e i link passano attraverso il sistema di tracciamento dei clic di SendGrid, per nascondere la vera destinazione.

Come si presentano le e-mail

Abbiamo individuato due temi, ciascuno illustrato qui con un’e-mail rappresentativa. Entrambi riprendono il logo Microsoft e il tono tipico delle comunicazioni di servizio, e entrambi fanno leva sul senso di urgenza.

Tema 1, messaggi trattenuti: “messaggi trattenuti a seguito dell’interruzione del servizio”. L’e-mail mostrata nella Figura 1.0 sostiene che il flusso di posta tramite Exchange Online sia stato interrotto il 12 novembre 2026, cita un ID incidente (EX1550543) e afferma che quattro messaggi sono stati trattenuti e verranno eliminati entro 24 ore se non vengono sbloccati. Il pulsante recita “Ripristina i messaggi”.

Tema 2, problema di sicurezza: “problema di sicurezza rilevato”. Come mostrato nella Figura 2.0, questa e-mail presenta un’intestazione DOMAIN Support-Desk, indica che è stato rilevato un problema di sicurezza sul proprio account e offre un pulsante Agisci.

Caratteristiche delle e-mail di phishing