Phishing e MFA: la nuova frontiera degli attacchi a Microsoft 365

I ricercatori di sicurezza hanno documentato un netto aumento delle piattaforme e dei kit di phishing-as-a-service (PhaaS) progettati specificamente per bypassare l'autenticazione a più fattori (MFA) sugli account Microsoft 365. Invece di violare i flussi crittografici dell'MFA, questi attacchi dirottano il processo di autenticazione legittimo stesso — intercettando i token di sessione, abusando dei flussi di codice dispositivo OAuth o fungendo da proxy per i login reali, in modo che l'approvazione MFA della vittima stessa funzioni a favore dell'aggressore ^TCR.

Principali minacce e tecniche

1. Forg365 — Piattaforma PhaaS basata sull'IA

Divulgata per la prima volta il 9 luglio 2026 da ZeroBEC e BleepingComputer, Forg365 è una piattaforma PhaaS a pagamento (400 $ al mese) distribuita tramite Telegram ^CC. Combina tre capacità rivoluzionarie:

• Generazione di esche assistita dall'IA: la dashboard utilizza l'IA generativa per abbozzare, perfezionare e localizzare automaticamente le email di phishing, prendendo di mira settori e scenari aziendali specifici, abbassando drasticamente la barriera delle competenze ^TR.
• Bypass MFA a due vie: Forg365 esegue sia il proxy adversary-in-the-middle (AiTM) (instradando le sessioni di login reali attraverso l'infrastruttura dell'attaccante) sia il phishing tramite codice dispositivo OAuth (spingendo la vittima a inserire un codice fornito dall'attaccante su microsoft.com/devicelogin, che autorizza il client dell'attaccante) ^SC.
• Evasione antibot e operazioni post-compromissione: la piattaforma include misure antibot e strumenti per operazioni automatizzate sulla cassetta postale dopo il furto dell'account ^C.

2. Estensione browser ForgCookie — Accesso persistente

Un'estensione browser complementare, ForgCookie, è compatibile con Chrome, Edge e Brave ^C. Una volta rubati i token di sessione o i cookie della vittima, ForgCookie aggiorna automaticamente i cookie di sessione rubati, consentendo all'attaccante di mantenere l'accesso ai servizi Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) senza dover eseguire una nuova autenticazione — anche dopo che la vittima ha cambiato la password ^IC. Questo trasforma un furto di token una tantum in un compromesso persistente e a lungo termine.

3. Jalisco — Toolkit per phishing tramite codice dispositivo

Divulgato da ReliaQuest e BleepingComputer il 14 luglio 2026, Jalisco è un kit per phishing tramite codice dispositivo attivamente utilizzato contro account Microsoft 365 ^RS. Funziona:

• Inviando email che invitano la vittima a inserire un codice dispositivo sulla pagina di login legittima di Microsoft.
• Il codice appartiene a un'applicazione OAuth controllata dall'attaccante.
• La vittima completa il vero MFA sui server di Microsoft — ma i token OAuth risultanti vengono emessi al client di polling dell'attaccante, non alla vittima ^RS.

Ciò significa che l'MFA non viene "violato", ma viene armato.

4. OmegaLord — Raccolta di credenziali tramite falso lettore PDF

Anch'esso segnalato il 14 luglio 2026, OmegaLord adotta un approccio diverso: si maschera da pagina browser falsa di un lettore PDF ^RS. Quando le vittime atterrano sulla pagina:

• Viene chiesto loro di "accedere per visualizzare questo documento protetto".
• Il modulo di login cattura le credenziali e i codici OTP (one-time password) associati in tempo reale.
• Gli aggressori utilizzano le credenziali rubate + l'OTP per autenticarsi immediatamente, prima che l'OTP scada ^RS.

5. La più ampia ondata di spoofing OAuth e codice dispositivo

Numerose fonti confermano una tendenza industriale più ampia:

• Microsoft ha documentato l'abuso di reindirizzamento OAuth contro organizzazioni governative e del settore pubblico a marzo 2026, utilizzando flussi OAuth silenziosi e ambiti non validi ^M.
• I kit per phishing tramite codice dispositivo, tra cui Kali365, EvilTokens, Ghost Hub, Cyb3r e Tycoon2FA, sono stati tutti osservati attivamente nel prendere di mira Microsoft 365 nel 2026, con maggio 2026 come mese di picco ^SB.
• L'FBI ha emesso un annuncio di servizio pubblico (PSA I-052126) a maggio 2026 avvertendo specificamente di Kali365, una piattaforma PhaaS che dirotta gli account M365 senza password abusando del flusso di concessione dell'autorizzazione del dispositivo OAuth ^I.

Come funziona effettivamente il bypass dell'MFA

L'intuizione critica alla base di tutte queste minacce è che l'MFA non viene tecnicamente sconfitto — viene cooptato:

Tecnica	Cosa succede	Perché l'MFA non lo ferma
Phishing tramite codice dispositivo	La vittima inserisce il codice dell'attaccante nella vera pagina di login Microsoft e completa la propria MFA	Il token va all'app dell'attaccante. L'MFA ha approvato l'utente giusto — per il client sbagliato.
Proxy AiTM	La vittima accede tramite il proxy dell'attaccante, l'MFA viene completato normalmente	L'attaccante cattura il cookie di sessione in tempo reale e dirotta la sessione.
Raccolta di credenziali + OTP	Un modulo di login falso cattura password e OTP contemporaneamente	L'OTP viene utilizzato immediatamente dall'attaccante prima che scada.

Questo è il motivo per cui la sola MFA tradizionale non è più una difesa sufficiente ^TWS.

Raccomandazioni dei ricercatori per la sicurezza

Sulla base di numerosi avvisi, sono fortemente raccomandate le seguenti mitigazioni:

• Disabilitare i flussi di codice dispositivo OAuth per il tuo tenant se la tua organizzazione non li utilizza (ad esempio, tramite criteri di accesso condizionato per bloccare l'autenticazione devicecode).
• Applicare criteri di accesso condizionato che richiedano dispositivi conformi, posizioni attendibili e controlli del rischio di sessione, non solo l'MFA.
• Monitorare le concessioni anomale di applicazioni OAuth — in particolare le app che richiedono autorizzazioni offline_access, Mail.Read o Files.ReadWrite.All.
• Bloccare l'autenticazione legacy e richiedere l'autenticazione moderna con token binding ove possibile.
• Utilizzare la protezione dei token / token binding (le funzionalità "token theft protection" di Microsoft) per legare i token a dispositivi specifici.
• Distribuire MFA resistente al phishing (chiavi di sicurezza FIDO2 o Windows Hello for Business) che non possa essere sottoposta a proxy.
• Formare gli utenti a riconoscere le tecniche di phishing tramite codice dispositivo che chiedono di "inserire questo codice per verificare il tuo account" su URL Microsoft legittimi.
• Controllare i log di accesso per autenticazioni provenienti da IP inaspettati, user agent insoliti e login tramite codice dispositivo da dispositivi non aziendali.

Queste raccomandazioni sono tratte dall'avviso dell'FBI ^I, dal blog sulla sicurezza di Microsoft ^M, da BleepingComputer ^RC e dall'analisi delle minacce di ReliaQuest ^S.

Riepilogo

L'ondata di phishing del 2026 contro Microsoft 365 — guidata da Forg365 (con la sua estensione di persistenza ForgCookie), Jalisco, OmegaLord e dal più ampio ecosistema di kit per codice dispositivo e AiTM — rappresenta un cambio di paradigma. Gli aggressori non hanno più bisogno di rubare password o violare l'MFA. Invece, abusano del modello di fiducia OAuth per far sì che l'autenticazione della vittima stessa autorizzi una sessione controllata dall'attaccante. La raccomandazione unanime della comunità della sicurezza è un approccio zero-trust: disabilitare i flussi di autenticazione inutilizzati, applicare l'accesso condizionato, monitorare le concessioni di token e passare a un MFA resistente al phishing ^ICSC.