N0va sta colpendo organizzazioni in Nord America ed Europa con un phishkit che sfrutta flussi SSO legittimi per rubare access token e refresh token. Il risultato non è un semplice clic andato male, ma un accesso valido a servizi cloud e account aziendali che può restare aperto senza malware visibile e senza forzare la password.
Il meccanismo è semplice e insidioso: la vittima passa da una sequenza di login che sembra normale e l’attaccante ottiene token riutilizzabili, cioè chiavi che valgono come una sessione già autorizzata. Con quei token si possono aprire email, applicazioni business e altre risorse cloud anche dopo un cambio password, finché sessioni e concessioni non vengono revocate.
Per i team identity e security che usano SSO/OAuth, il punto non è il phishing in sé ma la persistenza dell’accesso che ne deriva. In settori come government, technology e healthcare, una sola identità compromessa può diventare un punto d’appoggio duraturo dentro la cloud estate.