Identità · 97 giorni fa
Arctic Wolf ha osservato una campagna AitM attiva che ha preso di mira centinaia di organizzazioni e ha già prodotto intrusioni riuscite in healthcare, education, manufacturing, government e professional services. Il punto non è solo il furto della password: gli attaccanti mantengono una sessione Microsoft 365 valida e la usano per restare dentro senza far scattare i normali allarmi di accesso.
La catena intercetta il login reale, prende una sessione approvata con MFA e la rinnova a intervalli regolari, circa ogni otto ore. In parallelo, l’accesso a Microsoft Graph permette di leggere le email di payroll e finance come traffico ordinario, spesso dopo che il segnale più visibile, il phishing iniziale, è già passato.
Per Microsoft 365 e Entra ID il rischio è un accesso che sopravvive al reset della password e continua a operare in silenzio. Dove le mail di paghe e finanza contano come fonte di istruzioni o movimenti di denaro, una sessione già viva può restare il vero punto di compromissione.
1 fonte che coprono questa storia
Microsoft 365 AitM Phishing Hijacks Accounts to Collect Payroll and Finance Emails
AitM phishing hijacks Microsoft 365 accounts, then uses residential proxies and Microsoft Graph API access to collect payroll and finance email.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-08-08