NovaCookies porta il furto di sessioni Microsoft 365 fuori dal perimetro del team specialista e lo vende come servizio: $320 al mese, oppure $200 per 14 giorni, con infrastruttura ospitata, domini usa e getta e supporto via Telegram. Island ha osservato campagne che hanno preso di mira centinaia di organizzazioni in più paesi, usando anche finte notifiche DocuSign per dare credibilità al primo clic.
Il meccanismo è un relay AitM. L’utente vede un login normale e completa password e MFA; in parallelo, la pagina falsa fa da ponte verso Microsoft 365 e trattiene la sessione autenticata. Il risultato è che l’attaccante non ha bisogno di riusare la password o il codice una seconda volta: entra come l’utente con la sessione già aperta, e i controlli che guardano solo a tentativi falliti possono non vedere nulla di anomalo.
Per chi usa Microsoft 365 e l’email o i documenti condivisi come esca, il punto non è più solo bloccare il phishing classico. Qui il rischio è il session theft già pronto all’uso, con infrastruttura gestita centralmente e rotazione continua dei domini, quindi un abbassamento netto della barriera d’ingresso per campagne di massa.