Il phishing per Microsoft 365 diventa accesso persistente
Un singolo login riuscito non resta più un furto di credenziali da chiudere con un reset: qui diventa una chiave duratura su Microsoft 365. Il pannello ARToken automatizza il furto di token e la persistenza basata su PRT, così l’account può restare sotto controllo anche dopo che la fase di phishing iniziale è finita.
Cisco Talos, nel secondo giorno di analisi, ha descritto un ARToken affiliate panel con oltre 80 API esposte e codice JavaScript lato client che orchestra il furto di token, l’accesso a Outlook, SharePoint e OneDrive e operazioni di BEC. Le corrispondenze tecniche con EvilTokens e l’uso del flusso di device code di Microsoft indicano una piattaforma pensata per rendere stabile il takeover, non per rubare una password e basta.
Per chi gestisce Microsoft 365 e SharePoint, il punto non è solo l’accesso iniziale: mail e file possono restare esposti finché token e PRT non vengono trattati come compromessi. Questo sposta il problema dal phishing “una tantum” a un abuso di account che continua a valere nel tempo.