Nell'ambito della cybersecurity, sono sempre più frequenti le minacce informatiche che sfruttano tecniche sofisticate per trarre in inganno gli utenti e rubare informazioni sensibili. In un recente report, il team di intelligence sulle minacce di Microsoft ha rivelato una nuova ondata di attacchi di phishing che impersonano i domini delle organizzazioni e distribuiscono email apparentemente inviate dall'interno.

Secondo il report, i cybercriminali hanno sfruttato questo vettore per consegnare una vasta gamma di messaggi di phishing relativi a diverse piattaforme di phishing-as-a-service (PhaaS), come Tycoon 2FA. I messaggi di phishing includono temi come posta vocale, documenti condivisi, comunicazioni da reparti delle risorse umane, reset o scadenza della password, e altro ancora, che conducono al furto di credenziali.

Anche se questo attacco non rappresenta necessariamente una novità assoluta, Microsoft ha rilevato un aumento significativo dell'utilizzo di questa tecnica a partire da maggio 2025. Questa ondata di attacchi è stata diretta contro un'ampia gamma di organizzazioni in diversi settori e verticali, inclusi casi di campagne di phishing finalizzate a truffe finanziarie.

Un attacco di successo potrebbe consentire ai cybercriminali di sottrarre credenziali e utilizzarle per attività successive, come furto di dati o compromissione della posta elettronica aziendale (Business Email Compromise, BEC). L'allarme proviene dal fatto che questi attacchi sfruttano vulnerabilità nelle configurazioni di routing complesso e una mancata applicazione coerente delle protezioni contro il spoofing.

La falla di sicurezza si verifica principalmente in scenari dove un tenant ha impostato un routing complesso, ad esempio indirizzando il record MX (Mail Exchanger) a un ambiente Exchange locale o a un servizio terzo prima di raggiungere Microsoft 365. Ciò crea un varco di sicurezza che i malintenzionati possono sfruttare per inviare messaggi di phishing contraffatti che sembrano provenire dal dominio del tenant.

Microsoft ha bloccato più di 13 milioni di email dannose legate al kit Tycoon 2FA PhaaS solo nel mese di ottobre 2025. Questo strumento consente ai truffatori di creare e gestire campagne di phishing in modo semplice, rendendolo accessibile anche a chi ha competenze tecniche limitate. Il kit offre modelli di phishing personalizzabili, infrastruttura e altri strumenti per facilitare il furto di credenziali ed eludere l'autenticazione multi-fattore utilizzando tecniche di phishing "adversary-in-the-middle" (AiTM).

Il colosso dei sistemi operativi ha inoltre segnalato messaggi di phishing intesi a truffare organizzazioni per il pagamento di false fatture, con conseguenti perdite finanziarie. I messaggi contraffatti impersonano anche servizi legittimi, aumentando così il rischio di successo degli attacchi.

Analisi Tecnica Approfondita

Nel contesto della cybersecurity, il phishing è una tecnica dannosa che mira a rubare informazioni sensibili, come credenziali di accesso o dati finanziari, tramite l'inganno e la falsificazione. Gli attori delle minacce (threat actors) sfruttano spesso questa tecnica per distribuire email dannose che sembrano provenire da fonti affidabili. In questo caso, Microsoft ha identificato una campagna di phishing che utilizza un particolare approccio, noto come "misconfigured spoof protections", per ingannare i destinatari e distribuire messaggi dannosi.

Il termine "misconfigured spoof protections" si riferisce alla situazione in cui le protezioni contro il "spoofing" (la falsificazione dell'indirizzo email di origine) non sono configurate correttamente. Ciò può verificarsi quando un tenant, cioè un cliente che utilizza una piattaforma cloud come Microsoft 365, ha configurato uno scenario di routing complesso e le protezioni contro il spoofing non sono applicate in modo rigoroso.

Un esempio di "complex routing scenario" è quello in cui il record MX (Mail Exchanger) punta a un ambiente Exchange locale o a un servizio terzo prima di raggiungere Microsoft 365. Questo scenario può creare una vulnerabilità sfruttabile dagli attaccanti, che possono inviare messaggi di phishing contraffatti che sembrano provenire dal dominio del tenant. Questi messaggi possono quindi bypassare le normali protezioni contro il phishing e apparire come se fossero stati inviati internamente all'organizzazione.

La campagna di phishing descritta da Microsoft sfrutta questo vettore di attacco per distribuire una varietà di messaggi dannosi, inclusi quelli relativi a piattaforme PhaaS (Phishing-as-a-Service) come Tycoon 2FA. Le piattaforme PhaaS sono kit di strumenti plug-and-play che consentono ai truffatori di creare e gestire facilmente campagne di phishing, anche se hanno competenze tecniche limitate. Questi kit possono fornire modelli di phishing personalizzabili, infrastrutture e altri strumenti per facilitare il furto di credenziali e aggirare la verifica multi-fattore (MFA) utilizzando tecniche come l'intercettazione dell'uomo nel mezzo (AiTM).

La relazione di Microsoft rileva che questa campagna ha distribuito oltre 13 milioni di email dannose solo a ottobre 2025, con l'obiettivo di rubare credenziali e ingannare le organizzazioni per il pagamento di false fatture. Queste email contraffatte possono causare perdite finanziarie significative e compromettere la sicurezza delle informazioni sensibili, se gli utenti cadono nell'inganno.

In generale, è fondamentale per le organizzazioni implementare misure di sicurezza efficaci per proteggersi dalle minacce di phishing e altre tecniche dannose. Ciò include la configurazione appropriata delle protezioni contro il spoofing, l'applicazione rigorosa della verifica multi-fattore (MFA), la sensibilizzazione degli utenti alle minacce informatiche e l'adozione di soluzioni di sicurezza avanzate per rilevare e bloccare le email dannose.

Scenario e Precedenti Storici

3. STORIA La storia delle minacce informatiche è costellata da una continua evoluzione di tecniche e strategie messe in atto dai criminali informatici per sfruttare le vulnerabilità dei sistemi e ingannare gli utenti. Uno degli attacchi più diffusi e insidiosi è il phishing, che consiste nell'invio di email fraudolente con l'obiettivo di indurre le vittime a fornire informazioni personali o a cliccare su link pericolosi. Negli ultimi anni, i cosiddetti Phishing-as-a-Service (PhaaS) hanno guadagnato popolarità, offrendo ai cybercriminali kit e servizi facilmente accessibili per creare e gestire campagne di phishing su larga scala. Tra questi strumenti, il Tycoon 2FA PhaaS Kit è uno dei più noti e utilizzati, come riportato dal team Microsoft Threat Intelligence nel loro recente report. L'utilizzo del Tycoon 2FA PhaaS Kit ha subito un'impennata a partire da maggio 2025, con una crescente tendenza ad approfittare di configurazioni di routing complesse e protezioni anti-spoofing mal configurate per impersonare i domini delle organizzazioni e distribuire email che sembrano provenire da mittenti interni. Questo tipo di attacco sfrutta la debolezza insita nella mancanza di un'adeguata verifica dell'identità del dominio mittente, consentendo ai criminali informatici di bypassare i filtri antispam e antiphishing. L'impatto globale delle campagne di phishing basate su Tycoon 2FA PhaaS Kit è significativo, poiché le organizzazioni di diversi settori e verticali sono state target di queste attività illecite. Le email fraudolente possono avere temi vari come messaggi vocali, documenti condivisi, comunicazioni delle risorse umane (HR), reset o scadenza delle password, e altro ancora, con l'obiettivo di rubare credenziali attraverso tecniche di phishing mirate. Un attacco di successo può permettere ai threat actor di sottrarre informazioni riservate come credenziali di accesso, che possono essere utilizzate per ulteriori attività dannose come il furto di dati e la compromissione delle email aziendali (Business Email Compromise, BEC). Oltre al furto di credenziali, i cybercriminali stanno anche sfruttando questo vettore di attacco per indurre le organizzazioni a pagare fatture false, causando perdite finanziarie ingenti. Per contrastare queste minacce, è fondamentale che le organizzazioni adottino misure di sicurezza adeguate, inclusa la configurazione corretta dei sistemi di routing e la rigorosa applicazione delle protezioni anti-spoofing. Inoltre, l'educazione e la sensibilizzazione degli utenti sulle tecniche di phishing più recenti sono cruciali per ridurre il rischio di esposizione alle campagne dannose che sfruttano strumenti come Tycoon 2FA PhaaS Kit.

Strategie di Difesa e Mitigazione

4. DIFESA: Una Guida Pratica contro le Minacce di Phishing

La posta elettronica continua a essere uno dei vettori di attacco preferiti dai cybercriminali, che sfruttano sofisticate tecniche di phishing per ingannare gli utenti e rubare informazioni sensibili. Uno degli ultimi scenari sfruttati dagli attori delle minacce implica l'uso di configurazioni di routing complesse e la mancata applicazione di protezioni contro il spoofing. Questo articolo offre una guida pratica in cinque step per difendersi dalle minacce di phishing.

1. Configurare correttamente i record MX

Il primo passo consiste nel verificare e correggere la configurazione dei record MX (Mail Exchanger). Questi record indicano a Internet qual è il server responsabile dell'invio e della ricezione di messaggi di posta elettronica per un determinato dominio. Se un tenant ha configurato un ambiente ibrido o utilizza un servizio di terze parti prima di raggiungere Microsoft 365, deve assicurarsi che i record MX siano impostati correttamente.

2. Attivare e configurare la protezione antiphishing

Microsoft 365 offre una serie di funzionalità per proteggere gli utenti dalle minacce di phishing, tra cui la protezione antiphishing avanzata. Questa funzione utilizza l'intelligenza artificiale e le analisi delle reputazioni per rilevare e bloccare i messaggi di posta elettronica dannosi. Per attivarla, accedere alla console di amministrazione Microsoft 365, selezionare Impostazioni > Servizi di posta elettronica > Protezione antiphishing e seguire le istruzioni.

3. Implementare la verifica in due fattori (2FA)

La verifica in due fattori è una misura di sicurezza essenziale che può aiutare a prevenire il furto di credenziali. Microsoft 365 supporta diversi metodi di autenticazione 2FA, come l'uso di app per smartphone o token hardware. Per abilitarla, accedere alla console di amministrazione Microsoft 365, selezionare Utenti > Attività utente attuali e quindi seguire le istruzioni per ciascun account utente.

4. Formazione sulla sicurezza e sensibilizzazione degli utenti

Gli errori umani rappresentano una delle principali cause di violazioni della sicurezza. Per ridurre il rischio di phishing, è fondamentale investire nella formazione e sensibilizzazione degli utenti. Questo può includere corsi online, simulazioni di attacchi di phishing e sessioni di formazione in aula. Incoraggiare gli utenti a segnalare qualsiasi sospetto messaggio di posta elettronica può contribuire a individuare e mitigare tempestivamente le minacce.

5. Implementare un sistema di monitoraggio e reporting

Un sistema di monitoraggio e reporting può aiutare a rilevare e rispondere rapidamente alle minacce di phishing. Microsoft 365 offre diversi strumenti per monitorare l'attività della posta elettronica, come il Centro sicurezza & conformità. Implementare un sistema di notifiche automatico in caso di rilevamento di attività sospette può contribuire a garantire una risposta tempestiva.

Seguendo questi cinque passi, è possibile ridurre il rischio di subire un attacco di phishing e proteggere l'organizzazione dalle minacce informatiche.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l'uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.