Sessioni vive e Graph API tengono aperte le caselle paghe
Arctic Wolf ha osservato una campagna AitM attiva che ha preso di mira centinaia di organizzazioni e ha già prodotto intrusioni riuscite in healthcare, education, manufacturing, government e professional services. Il punto non è solo il furto della password: gli attaccanti mantengono una sessione Microsoft 365 valida e la usano per restare dentro senza far scattare i normali allarmi di accesso.
La catena intercetta il login reale, prende una sessione approvata con MFA e la rinnova a intervalli regolari, circa ogni otto ore. In parallelo, l’accesso a Microsoft Graph permette di leggere le email di payroll e finance come traffico ordinario, spesso dopo che il segnale più visibile, il phishing iniziale, è già passato.
Per Microsoft 365 e Entra ID il rischio è un accesso che sopravvive al reset della password e continua a operare in silenzio. Dove le mail di paghe e finanza contano come fonte di istruzioni o movimenti di denaro, una sessione già viva può restare il vero punto di compromissione.