Un incolla in Run-box basta a svuotare browser e cloud
Il punto debole è il ponte tra endpoint e cloud: un singolo incolla nella finestra Run di Windows può consegnare browser token, sessioni attive e file sincronizzati, così il furto resta vivo anche dopo il cambio password. Qui il problema non è solo lo stealer che ruba credenziali; è l’accesso già autenticato che porta via anche dati da Microsoft 365.
Microsoft dice che l’attività di ACR Stealer è cresciuta negli ambienti dei clienti da fine aprile a metà giugno e ha documentato due catene di delivery che usano ClickFix, JPEG steganography e WebDAV per sottrarre credenziali del browser, authentication token, PDF e file da OneDrive e SharePoint sincronizzati. Le catene colpiscono Chrome ed Edge e sfruttano le credenziali memorizzate, i cookie e i token già presenti sul dispositivo.
Il reset della password non basta se i token sono ancora validi: finché non vengono revocati, l’attaccante può restare dentro e continuare a leggere i dati cloud come un utente legittimo. Per chi usa Microsoft 365, il confine da proteggere non è più la sola password, ma l’intera sessione autenticata.