Chi monitora Entra solo dai successi di autenticazione rischia di perdere proprio la fase in cui l’attaccante verifica se un account esiste e se la password è corretta. Il punto debole non è il login riuscito, ma il fatto che un client ID falsificato può lasciare nei log solo un’applicazione vuota o sconosciuta e codici di errore che parlano al posto dell’attaccante. Proofpoint descrive campagne su larga scala contro milioni di account in migliaia di tenant Microsoft Entra, usando richieste OAuth con ROPC e client ID spoofing. I segnali utili diventano i campi app name vuoti o non corrispondenti e gli errori AADSTS700016, che indicano anche la validità della coppia username/password senza produrre un normale record di sign-in riuscito. Per i team identity e SOC, il modello di detection basato solo su sign-in positivi o su nomi applicazione noti non basta più: la validazione delle credenziali può passare da fallimenti “leggibili” e non da eventi puliti di accesso.
Part of the PlainSec briefing for 2026-07-15