Gli account Microsoft sono al centro di una sofisticata campagna malevola utile alla sottrazione di denaro e dati sensibili. Ecco come funziona l’attacco e come difendersi
Se siete in possesso di un account Microsoft, può capitare, di tanto in tanto, di ricevere email con codici monouso utili ad effettuare l’accesso al proprio profilo anche senza averlo richiesto.
Sono diversi i motivi per cui questo può accadere. Il primo è che qualcuno stia cercando di accedere al proprio profilo e, senza intenti malevoli, sbagli l’indirizzo email e digiti (per una dimenticanza, un refuso o una similitudine) il nostro.
Il secondo caso, invece, è un po’ più inquietante. Ovvero l’indirizzo email è trapelato in una fuga di dati e i criminali informatici stanno cercando di accedere all’account collegato.
Cosa sta succedendo
Non è tuttavia detto che si tratti di un attacco personale e mirato. Il più delle volte si tratta di un fenomeno chiamato credential stuffing: un processo automatizzato attraverso il quale gli hacker provano ad accedere agli account mediante l’utilizzo di credenziali e indirizzi email trovati online. I tentativi vedono la combinazione dei dati affinché le coppie possano poi portare all’accesso (o alla sottrazione) degli account. Ma cosa fare se si riceve un messaggio simile? La risposta è semplice: niente (o quasi).
Se l’e-mail ricevuta è autentica, non verrà richiesta nessuna azione particolare. Si può semplicemente cancellare il messaggio. Esiste però la possibilità che i criminali informatici stiano cercando di perpetrare un attacco più sofisticato così da indurre la vittima a consegnare il codice monouso contenuto nel messaggio. Ad esempio con una telefonata.
Quel codice non bisogna mai consegnarlo a nessuno, perché permette di accedere ai propri spazi digitali. In genere viene richiesto per consentire l’accesso dopo aver inserito la password, come sistema di sicurezza ulteriore, ed è quello che si definisce autenticazione a due fattori.
Ma c’è anche la possibilità che i criminali informatici conoscano già la password e che l’ultima barriera che ha impedito l’accesso sia stata proprio l’autenticazione a due fattori.
Per questo può essere utile accedere al proprio profilo, cambiare la password e verificare, dalla pagina Attività recenti su account.microsoft.com, che non siano presenti tentativi di accesso non riconosciuti.
L’altra possibilità: la truffa
Come di recente raccontato da Mashable, gli account Microsoft sono presi di mira anche per ulteriori truffe ai danni degli utenti. L’attacco è sofisticato e viene perpetrato attraverso le funzionalità messe a disposizione dalla compagnia per creare versioni di prova gratuite registrate su domini Microsoft, come ad esempio “onmicrosoft.com”, come spiegava lo scorso gennaio l’agenzia di sicurezza informatica Abnormal.
I criminali informatici utilizzano impropriamente gli spazi leciti forniti da Microsoft per portare avanti campagne malevoli. Dal pannello di controllo queste possono essere personalizzate, affinché nel testo della email che riceverà l’utente, possa apparire una richiesta per compiere un’azione, come ad esempio accettare o rifiutare un pagamento (mai avvenuto) chiamando un numero di telefono utilizzato dall’aggressore.
Prima dell’invio, il malfattore accederà al pannello della funzionalità Security Info di Microsoft affinché vengano inviate alle vittime il codice monouso utile ad accedere ai vari account. La tecnica permetterà dunque di inoltrare una email che sembrerà lecita perché inoltrata da un dominio ufficiale di Microsoft. Il processo è organizzato affinché sia automatizzato e portato su larga scala al fine di creare più indirizzi email falsi ma apparentemente legittimi e colpire quante più persone possibile.
Uno schema meno sofisticato, ma altrettanto dannoso, lo avevamo scoperto di recente, quando i truffatori iniettano nei motori di ricerca e nei chatbot falsi numeri di telefono di assistenza telefonica di compagnie aeree per sottrarre i dati sensibili dei viaggiatori e indurli a pagare per compiere operazioni che riguardano i biglietti.
Difendersi è semplice: fidarsi è bene, non fidarsi è meglio
Benché queste email possano essere insidiose, difendersi è facile. Bisogna sempre tenere a mente che il codice monouso è un elemento personale utile ad accedere ai propri account e che cederlo a terzi può significare compromettere i propri dati e i propri spazi digitali.
Meglio esserne gelosi.
Ma è anche un monito per ricordarsi di attivare l’autenticazione a due fattori e di utilizzare password complesse. O meglio ancora, se possibile, una passkey.
Per non perdere le ultime novità su tecnologia e innovazione
iscriviti alla newsletter di Login
23 maggio 2026
© RIPRODUZIONE RISERVATA