Il phishing contro ambienti Microsoft cloud non si limita più alla raccolta di username e password. Le campagne più efficaci puntano a sessioni, token, autorizzazioni OAuth e identità privilegiate, con l’obiettivo di ottenere un cloud account takeover e muoversi tra Exchange Online, SharePoint, Teams, applicazioni SaaS e risorse collegate a Microsoft Entra ID.
Per capire come analizzare un messaggio sospetto resta separata la guida Nexsys sull’analisi del phishing. Qui il focus è cosa succede quando il target è l’identità Microsoft cloud e quali controlli riducono il rischio di account takeover.
Azure, Microsoft Entra e Microsoft 365: cosa viene realmente attaccato
La vecchia espressione “phishing su Azure” è imprecisa. Azure AD è oggi Microsoft Entra ID e rappresenta il piano di identità usato da Microsoft 365 e da molte applicazioni cloud. L’attaccante non deve necessariamente sfruttare una vulnerabilità di Azure: può ingannare l’utente, rubare una sessione valida, ottenere consenso a un’app o compromettere un amministratore.
1. Credenziali rubate: il phishing classico resta efficace
La pagina fraudolenta replica il login Microsoft e induce l’utente a inserire la password. MFA riduce fortemente il rischio, ma il controllo va applicato a tutti gli account e in particolare ai ruoli privilegiati. Per l’approfondimento generale mantieni separata la pagina sulla Multi-Factor Authentication.
2. AiTM e furto del token: perché la MFA tradizionale può non bastare
Negli attacchi adversary-in-the-middle il proxy malevolo si interpone tra utente e servizio legittimo. L’utente può completare anche una MFA tradizionale, mentre l’attaccante acquisisce il cookie/token di sessione e lo riutilizza. Per i ruoli amministrativi Microsoft raccomanda metodi resistenti al phishing: passkey/FIDO2, Windows Hello for Business o autenticazione basata su certificati.
3. Proteggi i ruoli privilegiati con authentication strength
Applica Conditional Access agli amministratori e richiedi una authentication strength resistente al phishing. Procedi prima con la registrazione dei metodi e con account di emergency access per evitare lockout. La protezione dell’identità amministrativa è parte di una strategia più ampia di Identity Security.
4. Riduci il replay dei token
Microsoft Entra supporta Token Protection in Conditional Access per legare determinati token al dispositivo su cui sono stati emessi. Dove supportato, questo rende più difficile riutilizzare un token rubato da un endpoint dell’attaccante. Non è un sostituto della MFA resistente al phishing, ma un controllo aggiuntivo contro session hijacking e token replay.
5. Usa sign-in risk e user risk dove la licenza lo consente
Con Microsoft Entra ID Protection, disponibile con Entra ID P2, i segnali di rischio possono alimentare Conditional Access. Un account con evidenze di compromissione o un accesso ad alto rischio può essere bloccato o sottoposto a remediation. Non usare quindi semplici geoblock come unico indicatore: proxy e infrastrutture distribuite rendono la geografia facilmente aggirabile.
6. Proteggi Exchange Online con Defender for Office 365
Le email rimangono un vettore primario. Defender for Office 365 combina anti-phishing, anti-impersonation, Safe Links e Safe Attachments in base al piano disponibile. Microsoft raccomanda le preset security policies Standard o Strict come punto di partenza. Dal 1° luglio 2026 Defender for Office 365 Plan 1 è incluso anche in Office 365 E3 e Microsoft 365 E3, oltre che in Microsoft 365 Business Premium.
7. Controlla consent OAuth e applicazioni enterprise
Un attacco può evitare del tutto la password chiedendo all’utente di autorizzare un’app malevola. Rivedi consent grant, Enterprise Applications e App Registrations; limita il consenso degli utenti dove necessario e monitora applicazioni con permessi sensibili.
8. Cerca i segnali post-compromissione
- nuove regole di inoltro o inbox rule sospette in Exchange Online
- metodi MFA o dispositivi registrati senza change approvato
- consensi OAuth e service principal nuovi
- accessi anomali e token/sessioni ad alto rischio
- download massivi da SharePoint/OneDrive o attività insolite
- invio di phishing interno da mailbox compromesse
9. Awareness: serve, ma non è il controllo principale di questa pagina
La formazione riduce il rischio umano ma non sostituisce i controlli di identità e posta. Lo spear phishing mirato ha dinamiche specifiche: per esempi, segnali e difese consulta la guida sul spear phishing.
10. Se l’account è già compromesso
Isola il problema dal semplice “blocco del mittente”. Revoca sessioni/token, verifica metodi di autenticazione, resetta credenziali quando necessario, controlla ruoli e applicazioni, esamina mailbox rule e attività di esfiltrazione. Se l’incidente ha impatto aziendale, passa a un processo strutturato di Incident Response.
Checklist difensiva essenziale
- MFA su tutti gli utenti; phishing-resistant MFA per i ruoli privilegiati
- Conditional Access con copertura completa e poche esclusioni
- blocco autenticazione legacy e revisione device code flow
- Defender for Office 365 con preset Standard/Strict dove disponibile
- Safe Links, Safe Attachments e anti-impersonation verificati
- consent OAuth e app enterprise sotto governance
- sign-in risk/user risk se Entra ID P2 è disponibile
- token protection dove supportata
- monitoraggio di inbox rule, forwarding, download ed eventi anomali
- playbook di risposta per account takeover
Vuoi verificare la resilienza delle identità Microsoft agli attacchi di phishing? |
FAQ
Il phishing su Microsoft 365 è un attacco ad Azure?
Non necessariamente. Nella maggior parte dei casi l’attaccante colpisce l’identità Microsoft Entra, la sessione o le applicazioni collegate. Azure può essere una risorsa accessibile dopo la compromissione, ma non è implicata una vulnerabilità della piattaforma Azure.
La MFA blocca tutti gli attacchi di phishing?
No. La MFA riduce fortemente il rischio, ma gli attacchi adversary-in-the-middle possono rubare token di sessione. Per i ruoli amministrativi Microsoft raccomanda metodi resistenti al phishing.
Quali metodi MFA sono resistenti al phishing?
Microsoft indica passkey/FIDO2, Windows Hello for Business e autenticazione basata su certificati tra i metodi adatti a scenari phishing-resistant.
Defender for Office 365 protegge dal phishing?
Sì. Offre anti-phishing, Safe Links e Safe Attachments; alcune funzioni avanzate dipendono dal piano. Microsoft raccomanda preset security policies Standard o Strict come baseline.
Cosa fare se sospetto un cloud account takeover?
Revocare le sessioni, verificare credenziali e metodi MFA, controllare ruoli e app OAuth, analizzare log e mailbox rule, cercare esfiltrazione e attivare un processo di incident response se la compromissione è confermata.
