Il phishing che aggira l'MFA: cosa insegna il caso EvilTokens su Microsoft 365

Due amministratori arrestati nel Regno Unito, una piattaforma criminale smantellata, e nel mezzo oltre 12.000 account Microsoft 365 compromessi in più di 10.000 organizzazioni. È il bilancio di EvilTokens, una piattaforma di phishing-as-a-service nata a febbraio 2026 e appena messa fuori gioco da un’operazione coordinata di Microsoft, Health-ISAC e SpyCloud.

Il dettaglio che dovrebbe far riflettere chi gestisce un’azienda non è tanto la piattaforma in sé, quanto la tecnica che usava per aggirare l’autenticazione a più fattori: nessuna vulnerabilità sfruttata, nessun malware, nessun sito falso da riconoscere. Solo una pagina Microsoft vera, con un codice vero, inserito dalla vittima stessa.

Come funziona il “device code phishing”

Il flusso che viene abusato è reale e nasce per un motivo legittimo: serve per far accedere a un account Microsoft dispositivi senza tastiera comoda, come smart TV o alcune stampanti. In pratica, il dispositivo mostra un codice, l’utente lo inserisce su una pagina Microsoft autentica da un altro device, e l’accesso viene approvato.

Il problema è che un attaccante può generare quel codice per conto proprio e poi convincere la vittima — con un’email che finge di arrivare dall’IT, dalle risorse umane o da un servizio di sicurezza, con la scusa di “confermare l’accesso a un nuovo dispositivo” — a inserirlo lei stessa sulla pagina di login vera di Microsoft. La vittima sta effettivamente completando un accesso autentico, solo che lo sta facendo per l’attaccante. Ecco perché l’MFA classico non basta a fermarlo: non c’è nessuna pagina falsa da riconoscere, nessun dominio sospetto da controllare. È tutto vero, tranne chi finisce per avere l’accesso.

In Security Smart vediamo spesso, nei percorsi di formazione, che i dipendenti sono addestrati a diffidare di link strani o mittenti sconosciuti, ma non a riconoscere richieste che li portano su siti autentici per approvare qualcosa che non hanno chiesto. È esattamente questo il punto debole che EvilTokens sfruttava su scala industriale.

Il secondo livello: l’intelligenza artificiale dentro la casella di posta

Una volta ottenuto l’accesso, secondo quanto riportato da BleepingComputer, la piattaforma usava le API di Microsoft Graph per mappare l’organigramma aziendale e strumenti basati su IA per setacciare le caselle compromesse alla ricerca di bonifici, fatture in sospeso e corrispondenza con dirigenti. In altre parole: non un semplice furto di credenziali, ma la preparazione automatizzata di frodi mirate — il classico schema della “fattura falsa” o del bonifico dirottato, ma costruito da un sistema che legge migliaia di caselle di posta molto più velocemente di quanto potrebbe fare una persona.

Perché riguarda PMI, scuole ed enti del terzo settore

Quando aiutiamo un cliente a fare una prima valutazione del rischio, la domanda “usate Microsoft 365?” ricorre quasi sempre con risposta affermativa — per le PMI come per scuole ed enti no profit, spesso senza un presidio IT interno dedicato. Sono organizzazioni che gestiscono dati di dipendenti, studenti, utenti o beneficiari, e per cui un accesso non autorizzato a una casella email è, quasi sempre, anche una violazione di dati personali da valutare ai fini del GDPR.

Cosa fare, in pratica

• Disabilitate l’autenticazione tramite device code se non vi serve. Per la maggior parte delle organizzazioni questo flusso non è necessario: può essere limitato o bloccato dall’amministratore IT tramite le policy di accesso condizionale di Microsoft Entra ID.
• Passate a metodi di autenticazione resistenti al phishing, come chiavi di sicurezza FIDO2 o passkey, al posto del solo codice via SMS o app OTP.
• Aggiornate la formazione del personale includendo questo scenario specifico: nessuna richiesta legittima chiede di “confermare un accesso” con un codice ricevuto via email da un dispositivo che non avete richiesto voi.
• Verificate telefonicamente ogni richiesta di bonifico, cambio di IBAN o fattura urgente che arriva via email, anche se il mittente sembra un collega o un fornitore noto.
• Controllate periodicamente i log di accesso di Microsoft 365 per individuare accessi da dispositivi o località insolite: è spesso il primo segnale di un account compromesso, prima che diventi una frode conclamata.

Matteo Gianniello — Consulente privacy e cyber security