La difesa qui non salta per una password debole, ma per il percorso di autenticazione. Se un tenant lascia attivo un flusso OAuth legacy che scambia direttamente username e password per un token, MFA e Conditional Access non hanno il passaggio interattivo su cui intervenire.
Huntress ha visto 81 milioni di tentativi tra il 12 e il 26 giugno, con almeno 78 account Microsoft compromessi in 64 organizzazioni. La campagna ha sfruttato OAuth ROPC su Azure CLI e Microsoft 365; in diversi casi le policy MFA erano presenti ma non coprivano quel flusso, oppure valevano solo per gruppi o posizioni ristrette.
Il punto è che la protezione va verificata sul percorso di autenticazione, non solo sulla presenza di MFA. Se ROPC o altri flussi legacy restano consentiti, l’accesso valido può nascere anche dove il login normale verrebbe bloccato.