“The Procurement Trap”: la nuova frontiera del phishing che ruba le sessioni di Microsoft 365

• EvilProxy – un toolkit PhaaS che intercetta i cookie di sessione per bypassare codici SMS, app di autenticazione e notifiche push .
• FlowerStorm – un'operazione PhaaS ampiamente attiva che ha recentemente adottato l'offuscamento tramite macchina virtuale basata su browser per eludere le difese email .
• Kali365 – una piattaforma PhaaS apparsa per la prima volta nell'aprile 2026, distribuita tramite Telegram, che utilizza il phishing del codice del dispositivo per catturare i token di sessione senza bisogno di password o codici MFA .

Come Funziona l'Attacco (Meccanismo Tecnico)

L'aggressore configura un sito di phishing intermedio che funge da reverse proxy in tempo reale tra la vittima e i servizi di autenticazione legittimi di Microsoft 365 . Quando una vittima inserisce le credenziali e completa l'MFA, il proxy cattura il cookie di sessione risultante prima che raggiunga il browser della vittima. L'aggressore importa quindi quel cookie nel proprio browser e ottiene accesso completo a Exchange Online, SharePoint, OneDrive e a qualsiasi app federata della vittima .

Molte fonti descrivono lo stesso meccanismo di base: il proxy crea una comunicazione bidirezionale in tempo reale, mentre il phishing tradizionale si limita a clonare le pagine di login e a rubare le credenziali . Poiché il token di sessione dimostra che l'utente ha già superato l'MFA, l'aggressore non ha mai bisogno di violare l'MFA stesso .

Perché l'MFA Standard Non è Sufficiente

La stessa documentazione Microsoft avverte che il phishing AiTM sconfigge i metodi MFA comuni come i codici SMS, le notifiche push delle app di autenticazione e i token TOTP . Il cookie di sessione rilasciato dopo il completamento dell'MFA è il premio: se rubato, può essere riutilizzato da qualsiasi dispositivo, ovunque, fino alla scadenza del token o alla sua revoca amministrativa.

Il rapporto di Infoblox sottolinea che l'MFA tradizionale è insufficiente perché i proxy AiTM rubano il token di sessione rilasciato dopo il completamento dell'MFA . Il problema di fondo è architetturale: il proxy si inserisce tra l'utente e il vero endpoint di autenticazione in un modo che l'MFA classico non può rilevare.

Difese Oltre l'MFA Raccomandate da Infoblox

Infoblox raccomanda una strategia di difesa a più livelli che non si basi sull'MFA come unico punto di fallimento. Le loro raccomandazioni principali includono:

1. Sicurezza a livello DNS – Bloccare i domini malevoli noti e i domini algoritmici di nuova registrazione (RDGA) a livello DNS per interrompere l'infrastruttura di phishing prima che gli utenti possano raggiungerla .
2. Credenziali resistenti al phishing – Implementare chiavi di sicurezza hardware FIDO2/WebAuthn o Windows Hello for Business. Queste utilizzano la crittografia a chiave pubblica legata a un'origine specifica. Un proxy AiTM non può inoltrare le sfide FIDO2 perché l'asserzione crittografica è legata al dominio del sito legittimo, non al proxy.
3. Criteri di accesso condizionato – Applicare criteri rigorosi per il rischio di accesso in Microsoft Entra ID, come richiedere il binding del token, bloccare gli accessi da località o dispositivi insoliti e ridurre la durata delle sessioni per ridurre la finestra di riutilizzo dei cookie.
4. Gestione dell'esposizione e monitoraggio del brand – Rilevare proattivamente i domini di phishing che impersonano l'organizzazione e smantellare l'infrastruttura prima che gli utenti incontrino le esche .
5. Formazione sulla sicurezza e reporting – Addestrare gli utenti a riconoscere le esche di phishing a tema procurement e a segnalare le email sospette, consentendo una risposta più rapida del SOC.

Anche l'FBI ha messo in guardia specificamente su Kali365, consigliando alle organizzazioni di controllare i propri metodi MFA, rivedere i log di accesso per flussi anomali di codici dispositivo e considerare il blocco dell'autenticazione tramite codice del dispositivo per tutti gli utenti, tranne che per le applicazioni fidate .

Limiti delle Prove e Ambito di Applicazione

Il rapporto di Infoblox è la fonte primaria per il nome della campagna, il targeting di istituzioni UE/ONU e l'uso di caselle di posta Outlook e siti di piccole imprese compromessi. Report secondari confermano in modo indipendente i target e la rotazione dei kit.

La componente Kali365 è confermata in modo indipendente dal PSA dell'FBI e dai vendor di sicurezza Huntress e Paubox , ma il rapporto di Infoblox la raggruppa insieme a EvilProxy e FlowerStorm sotto la stessa infrastruttura a tema procurement.

Le raccomandazioni difensive combinano dichiarazioni dirette del rapporto di Infoblox con best practice del settore ben consolidate documentate in più fonti . Nessun singolo paragrafo nelle fonti elenca ogni voce difensiva in forma di elenco puntato; l'elenco sopra sintetizza le indicazioni trovate nel materiale citato.

In Soldoni

“The Procurement Trap” illustra una tendenza crescente: i threat actor non stanno cercando di violare l'MFA, lo stanno aggirando del tutto rubando i cookie di sessione rilasciati dopo l'autenticazione riuscita. Contromisure tecniche come le chiavi hardware FIDO2 e il blocco a livello DNS possono ridurre significativamente l'esposizione, ma la prima linea di difesa rimane la vigilanza dell'utente. Le organizzazioni che utilizzano Microsoft 365 dovrebbero rivedere i propri log di autenticazione per verificare la presenza di pattern anomali di codici dispositivo o AiTM e implementare credenziali resistenti al phishing come priorità.