Minacce · 179 giorni fa
Microsoft ha osservato una campagna di phishing su larga scala che ha colpito oltre 35.000 utenti in 26 paesi, soprattutto negli Stati Uniti, e ha usato il filtraggio dei bot per aumentare i furti di token riusciti. Il punto non era solo la finta mail: era portare avanti solo gli esseri umani abbastanza convinti da arrivare fino alla fine.
Le email imitavano avvisi di codice di condotta con HTML curato e servizi legittimi, poi spingevano le vittime attraverso CAPTCHA e pagine intermedie che servivano a sembrare autentiche e a scartare l’automazione. Alla fine il flusso portava a una pagina di sign-in in un AiTM, dove l’attaccante proxyava la sessione e intercettava i token, aggirando anche MFA non resistente al phishing.
Per chi difende identità e caselle, il rischio è che un phishing più credibile concentri i successi su meno bersagli ma più preziosi. Se l’accesso dipende ancora da MFA non resistente al phishing, la sessione può essere sottratta anche quando la password non viene mai consegnata.
1 fonte che coprono questa storia
Microsoft Defender Research observed a large-scale credential theft campaign that exemplifies this trend, using code of conduct-themed lures, a multi-step attack chain, and legitimate email services to distribute fully authenticated messages from attacker-controlled domains.
Part of the PlainSec briefing for 2026-05-04