Nel 2023 Microsoft Threat Intelligence documentò una campagna altamente mirata di social engineering condotta da Midnight Blizzard attraverso Microsoft Teams. Gli attaccanti impersonavano personale di supporto tecnico o sicurezza e sfruttavano tenant Microsoft 365 precedentemente compromessi per rendere le richieste più credibili.
L’obiettivo non era sfruttare una vulnerabilità di Teams, ma convincere l’utente ad approvare un flusso di autenticazione che non aveva avviato. Il caso resta rilevante nel 2026 perché il phishing non è più confinato alla posta elettronica: Microsoft continua a osservare campagne che utilizzano Teams, chiamate, supporto remoto e altri canali di collaborazione per colpire identità cloud.
Per una panoramica generale sulle tecniche di phishing: Phishing: cos’è, come riconoscerlo e proteggere l’azienda
Chi è Midnight Blizzard
Midnight Blizzard, precedentemente tracciato da Microsoft come NOBELIUM e noto anche come APT29 o Cozy Bear, è un threat actor attribuito dai governi statunitense e britannico al servizio di intelligence estero russo SVR. Microsoft descrive il gruppo come orientato allo spionaggio e storicamente interessato a governi, organizzazioni diplomatiche, ONG, provider IT, tecnologia e altri obiettivi strategici.
Il gruppo ha utilizzato nel tempo tecniche diverse: compromissione di credenziali, password spray, spear phishing, supply chain, abuso della relazione di fiducia dei service provider, movimento laterale da ambienti on-premises al cloud e compromissione di meccanismi di autenticazione.
La campagna Microsoft Teams osservata nel 2023
La campagna descritta da Microsoft il 2 agosto 2023 era una sottocategoria di attività di credential theft osservate almeno dalla fine di maggio dello stesso anno. Secondo Microsoft, coinvolse meno di 40 organizzazioni globali e appariva coerente con obiettivi di spionaggio molto selettivi.
Midnight Blizzard utilizzava tenant Microsoft 365 di piccole aziende compromessi in precedenza. Il tenant veniva rinominato e dotato di un nuovo sottodominio onmicrosoft.com con nomi legati a sicurezza o prodotti Microsoft, in modo da far apparire il mittente come un’entità tecnica credibile.
Sai quanti utenti riconoscerebbero davvero un attacco di social engineering?
Nexsys progetta campagne di Phishing Simulation per misurare il rischio reale, individuare i gruppi più esposti e collegare i risultati a formazione mirata.
Scopri la Phishing Simulation
Fase 1: richiesta di chat da un utente esterno
La vittima riceveva una richiesta di chat Teams da un utente esterno che si presentava come supporto IT o team di sicurezza. Il punto centrale della tecnica era sfruttare la fiducia associata a una piattaforma di collaborazione aziendale e a un’identità apparentemente plausibile.
Fase 2: richiesta di azione su Microsoft Authenticator
Dopo avere avviato un tentativo di autenticazione sull’account bersaglio, l’attaccante cercava di convincere l’utente a inserire nell’app Microsoft Authenticator il codice mostrato nel flusso di accesso. Il messaggio Teams forniva quindi il pretesto sociale per fare approvare un’autenticazione non iniziata dall’utente.
Fase 3: accesso all’account Microsoft 365
Se la vittima seguiva le istruzioni, l’attaccante completava il flusso di autenticazione e otteneva un token utilizzabile per accedere come utente bersaglio. Microsoft osservò attività post-compromissione orientata al furto di informazioni e, in alcuni casi, tentativi di aggiungere un dispositivo come managed device in Microsoft Entra ID.
La lezione tecnica |
Perché questo caso è ancora rilevante nel 2026
Il caso Midnight Blizzard è storico, ma il vettore non lo è. Nel 2026 Microsoft continua a segnalare un’espansione del social engineering basato su Teams e intrusioni in cui gli attaccanti impersonano helpdesk o supporto tecnico attraverso tenant esterni.
Nel marzo 2026 Microsoft Incident Response ha documentato un caso di voice phishing tramite Teams in cui un attaccante, dopo più tentativi, convinse un utente a concedere accesso remoto tramite Quick Assist. Nell’aprile 2026 Microsoft ha inoltre descritto intrusioni cross-tenant in cui attori malevoli utilizzavano Teams per impersonare l’helpdesk e indurre gli utenti a concedere accesso remoto.
Il pattern comune è stabile: l’attaccante sfrutta un canale aziendale considerato affidabile, si presenta come funzione interna o supporto, crea urgenza e convince la vittima a eseguire un’azione legittima ma pericolosa.
Indicatori della campagna Midnight Blizzard
Gli indicatori seguenti sono quelli pubblicati da Microsoft per la specifica campagna del 2023. Sono utili per attività storiche di threat hunting o per verificare eventuali evidenze residue, ma non devono essere trattati come un elenco completo degli indicatori attuali di Midnight Blizzard.
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
- onmicrosoft[.]com
Microsoft indicava inoltre come stringa di interesse per la ricerca dei messaggi la frase: “We detected a recent change to your preferred Multi-Factor Authentication (MFA)”.
Nota operativa sugli IOC |
Come cercare evidenze in Microsoft 365
Per il caso originario Microsoft suggeriva l’uso di Content Search in Microsoft Purview sui messaggi Teams memorizzati nelle mailbox interessate e l’utilizzo di Microsoft Sentinel per correlare indicatori di threat intelligence con i dati raccolti.
- Verificare richieste di chat da identità esterne e tenant non riconosciuti.
- Correlare i messaggi sospetti con i Microsoft Entra sign-in logs dell’utente.
- Controllare autenticazioni riuscite immediatamente dopo richieste MFA non attese.
- Verificare nuovi device registration o join in Entra ID successivi all’evento.
- Controllare attività anomale su Exchange Online, SharePoint, OneDrive e Teams dopo l’accesso.
- Mantenere Microsoft 365 Audit disponibile per investigazioni retrospettive.
Difese consigliate contro il phishing via Teams
1. Passare a MFA resistente al phishing
Le autenticazioni basate su passkey/FIDO2, Windows Hello for Business e altri metodi phishing-resistant riducono il rischio che un utente possa trasferire manualmente a un attaccante il fattore necessario per completare l’accesso.
2. Applicare Authentication Strength con Conditional Access
Per account privilegiati e applicazioni critiche è opportuno richiedere esplicitamente metodi di autenticazione phishing-resistant tramite Conditional Access, invece di considerare equivalenti tutti i metodi MFA.
3. Ridurre la superficie dell’accesso esterno Teams
L’accesso esterno deve essere configurato in base alle reali esigenze aziendali. Quando il business lo consente, è preferibile limitare le comunicazioni a organizzazioni o domini affidabili e verificare periodicamente guest access, shared channels e federation.
Approfondimento tecnico: 5 pilastri di sicurezza per Microsoft Teams
4. Rendere visibile il rischio agli utenti
Gli utenti devono conoscere il significato dell’etichetta External e trattare come sospetta qualsiasi richiesta non attesa di autenticazione, reset, supporto remoto, installazione software o inserimento di codici.
5. Bloccare la catena dopo il primo segnale
Quando un utente segnala una richiesta sospetta, l’IT deve poter correlare rapidamente identità, device, sign-in, chat, audit e attività cloud. La velocità di triage è determinante perché le campagne moderne possono passare dal contatto iniziale a session hijacking, remote access o data exfiltration in tempi molto brevi.
Cosa deve fare un utente se riceve un messaggio sospetto su Teams
- Non accettare automaticamente una richiesta di chat da un utente esterno sconosciuto.
- Non approvare MFA, number matching o richieste di autenticazione che non hai avviato.
- Non condividere credenziali, codici, screenshot o informazioni sull’account tramite chat.
- Non avviare Quick Assist o altri strumenti di supporto remoto su richiesta di un interlocutore non verificato.
- Segnala immediatamente il messaggio al team IT o Security e conserva le informazioni utili all’indagine.
Cosa deve verificare l’IT dopo una segnalazione
- Identità dell’utente esterno, tenant di origine e cronologia del contatto.
- Sign-in dell’utente nel periodo immediatamente precedente e successivo alla chat.
- MFA events, registration dei metodi e modifiche alle authentication methods.
- Sessioni attive e token da revocare in caso di sospetta compromissione.
- Device registration, device join e modifiche allo stato di compliance.
- Audit Microsoft 365 e attività post-accesso sui workload.
- Eventuali ulteriori utenti contattati dallo stesso tenant o dalla stessa identità.
Misurare il rischio umano con una Phishing Simulation
Gli attacchi via Teams mostrano un limite delle campagne di awareness esclusivamente email-centriche: l’utente può riconoscere un messaggio di posta sospetto ma fidarsi troppo di una chat, di una chiamata o di una richiesta presentata come supporto interno.
Verifica identità, Teams e protezioni Microsoft 365
Analizziamo MFA, Conditional Access, guest ed external access, Defender, audit e data protection per individuare gap reali nella postura Microsoft 365.
Scopri il Microsoft 365 Security AssessmentFormazione Phishing Awareness
Per ridurre il rischio è necessario addestrare gli utenti a riconoscere social engineering su più canali: email, Teams, SMS, voce, QR code e messaggi provenienti da identità esterne.
Corso Phishing Awareness: come difendersi dagli attacchi informatici
Il phishing non arriva più solo via e-mail
Forma gli utenti a riconoscere phishing, social engineering, QR phishing, vishing e messaggi sospetti sui canali di collaborazione.
Scopri il Corso Phishing AwarenessFAQ sul phishing Teams e Midnight Blizzard
L’attacco Midnight Blizzard su Teams è avvenuto nel 2026?
No. La campagna descritta in questo articolo fu documentata da Microsoft il 2 agosto 2023 e riguardava attività osservate almeno dalla fine di maggio 2023. Il caso resta utile perché nel 2026 il social engineering tramite Teams continua a essere un vettore attivo.
Midnight Blizzard ha sfruttato una vulnerabilità di Microsoft Teams?
Microsoft descrisse la campagna come social engineering: gli attaccanti abusavano di funzionalità legittime e della fiducia degli utenti, non di una vulnerabilità software di Teams.
Come facevano gli attaccanti a superare l’MFA?
Convincevano la vittima a completare un flusso di autenticazione avviato dall’attaccante, inserendo nel Microsoft Authenticator il codice mostrato durante il login.
Qual è la difesa più efficace contro questo tipo di attacco?
La difesa deve combinare autenticazione phishing-resistant, Conditional Access, controllo delle comunicazioni esterne Teams, audit e formazione degli utenti.
Gli IOC del 2023 sono ancora validi?
Sono utili per hunting retrospettivo relativo alla campagna documentata da Microsoft, ma non rappresentano l’infrastruttura completa o attuale del threat actor.
Il phishing via Teams è ancora un rischio nel 2026?
Sì. Microsoft ha documentato nel 2026 campagne di social engineering e helpdesk impersonation via Teams, comprese intrusioni che hanno portato gli utenti ad avviare supporto remoto.
Come posso verificare quanto sono esposti gli utenti aziendali?
Una campagna di phishing simulato permette di misurare click, inserimento credenziali, segnalazioni e comportamento reale degli utenti, collegando i risultati a formazione mirata.