Le modalità di conquista degli account sono cambiate. E la vostra difesa?

Gli attacchi descritti in questo blog non possono essere bloccati da single meccanismo di controllo. Vengono bloccati da una piattaforma in grado di monitorare l’intera catena, dal primo anello sospetto fino al trasferimento dei dati successivo alla compromissione, mettendo in relazione i segnali che le soluzioni isolate lasciano fuori. Colmare tale divario non significa aggiungere ulteriori controlli, ma collegare tra loro quelli già esistenti.

L'appropriazione di un account va a buon fine non perché i team di sicurezza non prestino attenzione, ma perché l'attacco è progettato in modo tale da dare l'impressione che tutto sia nella norma. Un'identità legittima, su un dispositivo riconosciuto, proveniente da una posizione plausibile. Non si verificano incendi spontanei. Nessun viaggio di servizio. L'accesso sembra autorizzato perché, tecnicamente, lo è.

Per un professionista della sicurezza, questa è la scomoda verità che sta alla base della sicurezza delle identità nel 2026. Il nuovo obiettivo è l’identità stessa e Microsoft 365, in quanto piattaforma che supporta la posta elettronica, i file, il calendario e la gestione degli accessi per centinaia di milioni di utenti, si trova proprio nel mirino. Un single account compromesso non rappresenta un problema isolato relativo alla posta in arrivo. Si tratta di un punto d’appoggio organizzativo, e il tempo di permanenza prima del rilevamento offre agli aggressori un margine d’azione più che sufficiente.

600 milioni di attacchi mirati all’identità al giorno

Il numero di attacchi basati sull'identità che prendono di mira Microsoft 365 non rappresenta più una minaccia marginale. Microsoft segnala circa 600 milioni di attacchi di questo tipo^{ogni giorno¹}, e uno dei vettori di attacco più efficaci è il phishing delle credenziali su larga scala, estremamente convincente, che spesso sfrutta l’unico elemento che le organizzazioni non possono correggere: la familiarità degli utenti.

Poiché le suite di collaborazione e i servizi SaaS sono ormai profondamente integrati nei flussi di lavoro quotidiani moderni, gli utenti sono abituati a ricevere e a rispondere a comunicazioni che sembrano provenire da tali servizi. Gli autori degli attacchi sfruttano deliberatamente tale condizionamento. Nell’ambito della base clienti globale di Mimecast, il phishing rappresenta attualmente il 77% e di tutte^{le minacce rilev} ate^²; Microsoft ha inoltre segnalato di aver registrato circa 8,3 miliardi di tentativi di phishing via e-mail nel solo primo trimestre del 2026, la stragrande maggioranza dei quali mirava a sottrarre credenziali piuttosto che a diffonderemalware³. Ciò indica che l'obiettivo diretto non è la vostra rete. Si tratta delle credenziali di accesso dei vostri collaboratori.

Come si è evoluto il manuale tattico

La maggior parte delle persone continua a immaginare che le violazioni consistano nel tentativo da parte di un malintenzionato di indovinare le password. Oltre il 97% e degli attacchi mirati all’identità su 365 si basa ancora sulle tecniche di “spray” o di^forza bruta¹. È diretto, automatizzato e, a volte, funziona. Ma le tecniche più pericolose avvengono intorno ai vostri comandi, non attraverso di essi.

Phishing basato sui codici QR: è più che raddoppiato nel primo trimestre del 2026 — con^{un aumento} del 146% 3. I codici QR aggirano i programmi di scansione dei messaggi di testo e reindirizzano le vittime verso una pagina di phishing sul proprio cellulare, che è molto meno protetto rispetto al dispositivo di lavoro.

Abuso dei CAPTCHA: l’uso di questa tecnica ha registrato un’impennata del 125% nel^solo mese di marzo 2026³. Il CAPTCHA non serve a dimostrare che Lei sia un essere umano, ma a impedire che le soluzioni di sicurezza di base per la posta elettronica raggiungano la pagina sottostante, destinata al furto delle credenziali.

Furto di token: programmi di furto di informazioni come Lumma Stealer e RedLine raccolgono i cookie delle sessioni autenticate del browser. Ciò è importante perché, una volta rubato un cookie di sessione, l’autore dell’attacco può autenticare l’utente senza aver mai bisogno della sua password o del codice MFA. Dal punto di vista del provider di identità, si tratta di una sessione valida e già autenticata. 

Bypass di AitM e MFA: piattaforme come Tycoon2FA si interponono in tempo reale tra l’utente e la pagina di accesso legittima, inoltrando le credenziali e acquisendo il token MFA nel momento stesso in cui viene inserito. L'utente completa con successo l'autenticazione, e lo stesso fa l'autore dell'attacco, pochi millisecondi dopo. 

Tutte queste tecniche moderne sono state progettate specificamente intorno ai controlli tradizionali di identità su cui fanno affidamento la maggior parte delle organizzazioni.

Il Master in Belle Arti è importante, ma non rappresenta l’unica soluzione

L'autenticazione a più fattori (MFA) rimane fondamentale; elimina la stragrande maggioranza degli attacchi automatizzati alle credenziali e dovrebbe essere un requisito imprescindibile. Ma gli attacchi che faranno notizia nel 2026 non saranno quelli che l'autenticazione a più fattori (MFA) riuscirà a bloccare. Sono stati progettati specificatamente per ambienti in cui l’autenticazione a più fattori (MFA) è già attiva. Considerare l’MFA come una misura difensiva, anziché come uno standard di base, rappresenta la lacuna su cui gli aggressori stanno basando le loro strategie.

Colmare il divario significa coprire l’intera filiera

Poiché l'attacco è di tipo a catena, anche la difesa deve esserlo, con controlli che entrino in funzione prima che le credenziali vengano sottratte, nel momento in cui un utente clicchi su qualcosa di sospetto e dopo che un account è già stato compromesso.

Prima del clic

La maggior parte dei link di phishing non reindirizza direttamente a una pagina di accesso fasulla. Essi passano attraverso reindirizzamenti, CAPTCHA, codici QR e URL generati da immagini, proprio per eludere gli strumenti di sicurezza che si limitano a un’analisi superficiale. Una difesa efficace prima del clic deve seguire l'intera catena di reindirizzamenti, non limitarsi a esaminare l'URL visibile, e avvalersi della visione artificiale per identificare le pagine di accesso contraffatte che sfuggono ai filtri basati sul testo. Gli URL protetti da CAPTCHA dovrebbero essere considerati un segnale di rischio, non un motivo per interrompere la scansione. 

Nel momento in cui si fa clic

Quando un utente fa clic su un collegamento che non è stato ancora classificato come dannoso, ma che non è ancora considerato affidabile, la funzione di isolamento del browser può intervenire prima che si verifichino danni. La sessione viene eseguita in un container remoto, completamente separato dal dispositivo dell'utente. Nessun furto di token. Nessuna acquisizione delle credenziali. Gli amministratori possono impedire del tutto l'inserimento delle credenziali all'interno delle sessioni isolate. Anche se qualcuno ci cascasse, non ne verrebbe fuori nulla.

Dopo il compromesso

Quando un account viene compromesso, per individuarlo è necessario correlare i segnali a diversi livelli. Le anomalie comportamentali nelle e-mail — volumi di invio insoliti o tentativi di phishing in uscita da account affidabili — devono essere valutate alla luce dei segnali relativi all’identità. Se considerati singolarmente, ciascuno di essi potrebbe essere liquidato come rumore di fondo. Nel loro insieme, forniscono un quadro chiaro della situazione, ed è proprio il sistema di valutazione basato sull’intelligenza artificiale a rendere tale correlazione utilizzabile, mettendo in evidenza gli avvisi realmente rilevanti affinché i responsabili della sicurezza possano intervenire rapidamente.

Ma il compromesso raramente rimane fermo in un unico punto. Un malintenzionato in possesso di una sessione valida si insinuerà nelle conversazioni di Teams, nelle unità condivise e negli archivi interni di file, alla ricerca di informazioni di valore e di nuovi obiettivi da colpire. Ciò significa che una difesa efficace non può limitarsi alla posta elettronica. La stessa prospettiva comportamentale deve estendersi a tutti gli ambienti di collaborazione, segnalando le comunicazioni interne sospette e la condivisione insolita di dati sensibili prima che un aggressore possa consolidare la propria posizione.

Anche in tal caso, un indicatore affidabile nella fase avanzata è ciò che un account compromesso finisce per fare con i dati. I trasferimenti verso destinazioni non attendibili, account di posta elettronica gratuiti o dispositivi personali rappresentano un secondo segnale, indipendente, che indica che qualcosa non va — un segnale rilevabile in tempo reale, anche quando il livello di verifica dell’identità non ha ancora completato il controllo.

La domanda che vale la pena porsi oggi

Se questa mattina un malintenzionato avesse compromesso un account Microsoft 365 nel Suo ambiente, quanto tempo impiegherebbe il Suo team a rendersene conto?  Il numero di attacchi rivolti contro M365 non accenna a diminuire, e quelli che vanno a buon fine non riescono a sfondare perché l’autenticazione a più fattori (MFA) è disattivata. Riescono a superare le difese perché le lacune nei vostri sistemi di controllo corrispondono esattamente ai punti su cui gli aggressori basano le loro strategie. 

Gli attacchi descritti in questo blog non possono essere bloccati da single meccanismo di controllo. Vengono bloccati da una piattaforma in grado di monitorare l’intera catena — dal primo anello sospetto fino al trasferimento dei dati successivo alla compromissione — e di collegare i segnali che le soluzioni isolate lasciano isolati.

Mimecast opera lungo l'intera catena. Prima che qualcuno clicchi, tracciamo ogni link inviato tramite e-mail e piattaforme di collaborazione fino alla sua destinazione finale, anche quando è stato deliberatamente nascosto dietro codici QR, reindirizzamenti o schermate di verifica progettate per eludere gli strumenti di sicurezza di base. Quando un utente clicca su un elemento sospetto, possiamo aprire quella pagina in un browser isolato, in modo che le sue credenziali di accesso e i token di sessione non possano essere intercettati. Se un account dovesse comunque subire una violazione, individuiamo rapidamente i segnali — invio di e-mail insolite, accessi da luoghi inaspettati — e inviamo al Suo team un avviso chiaro e classificato in base alla priorità. E quando un malintenzionato inizia a tentare di trasferire dati all’esterno, un livello separato monitora tale comportamento e può impedire la fuga di tali dati, generando al contempo un allarme affinché venga condotta un’indagine.

Questa è la soluzione al problema architettonico. Non servono altri strumenti. Una piattaforma progettata per avere una visione completa dell’attacco, poiché è proprio nell’intersezione tra persone, dati e intelligenza artificiale che risiede il rischio — ed è proprio lì che Mimecast è stata concepita per garantire protezione.

Scoprite come Mimecast impedisce il furto di credenziali lungo l’intera catena di attacco:

Dal primo link sospetto al trasferimento di dati successivo alla violazione: scoprite come Mimecast colma le lacune nella rilevazione dei segnali che la vostra attuale infrastruttura non è in grado di individuare.

Richieda una demo.

1. Rapporto Microsoft sulla difesa digitale 2024 &2025(microsoft.com/en-us/security/security-insider/microsoft-digital-defense-report-2025)

2. Rapporto Mimecast sulla minaccia informatica globale, 2025 (https://www.mimecast.com/resources/ebooks/threat-intelligence-january-june-2025/)

3. Rapporto di Microsoft sul panorama delle minacce via e-mail nel primo trimestre del 2026 (https://www.microsoft.com/en-us/security/blog/2026/04/30/email-threat-landscape-q1-2026-trends-and-insights/)