L'attacco passa dalle finte login ai flussi di accesso reali
GTIG sta seguendo tre cluster russi sospetti che hanno spostato il focus dal phishing classico all'abuso di flussi di accesso reali. Due gruppi sono nuovi nella mappatura, e il quadro ora include app password, OAuth e redirect da captive portal, non solo la campagna UNC6293 vista l'anno scorso.
Il punto non è rubare sempre una password. È ottenere un varco duraturo attraverso una richiesta che sembra una normale autenticazione o autorizzazione su una schermata vera. Così l'accesso può restare valido anche dopo un reset della password, se restano attivi app password, grant OAuth o altri accessi già concessi.
Per chi usa Microsoft 365, Google Workspace o altre identità SaaS, il rischio si sposta sul piano di controllo dell'account, non solo sulla casella di posta. Questa è la parte che i playbook anti-phishing centrati sulla password tendono a perdere.