L’FBI ha lanciato un alert su una campagna in corso che colpisce persone di alto profilo, i loro familiari e i loro contatti per ottenere accesso persistente agli account Microsoft e Google. La campagna è seguita dall’FBI da fine 2025 e usa app di messaggistica commerciali per farsi passare per contatti fidati.
Il trucco non chiede la password. Porta la vittima ad approvare una richiesta OAuth su un servizio legittimo, e quell’approvazione consegna a un’app malevola un token che resta valido finché non viene revocato. Per questo il cambio password non basta: l’accesso può continuare a leggere email e file e a spostarsi attraverso la rete di contatti della vittima, finché il grant non viene rimosso.
Per chi protegge executive, assistenti e staff di comunicazione su Microsoft 365 o Google Workspace, il punto fragile non è la casella in sé ma l’elenco delle autorizzazioni concesse a terze parti. Questo schema rompe l’idea che reset della password e MFA chiudano automaticamente l’incidente.