Barracuda ha analizzato una campagna di phishing che non lascia una pagina stabile da bloccare: il contenuto malevolo viene assemblato nel browser della vittima dopo un redirect fidato attraverso Microsoft Teams. Per chi filtra URL e domini, il punto debole è chiaro: non c’è un sito fisso da mettere in blacklist.
La catena parte da una mail in stile DocuSign e passa da servizi Microsoft legittimi fino a un blob URL generato in sessione. In quel punto la pagina vive solo dentro il browser, quindi sparisce l’aggancio che di solito alimenta scanning e blocco basati su indirizzi web statici. Barracuda segnala anche una regia centralizzata del flusso, pensata per spostare e aggiornare la campagna su più vittime.
Per email security, SOC e team identità che usano Microsoft 365 e Teams, la rilevanza non è il singolo lure ma il modello: il phishing si appoggia a flussi fidati e toglie di mezzo gli indicatori che i controlli URL tradizionali cercano per primi.