Mirage2FA: il 48% degli obiettivi del phishing contro Microsoft 365 è potenzialmente compromesso

Una campagna in corso da due anni

Mirage2FA è descritta come una campagna di phishing-as-a-service basata su un kit commerciale. Prende di mira account Microsoft 365 abusando dei flussi di login legittimi. Il bersaglio non è una specifica versione del software, ma gli account e i servizi collegati tramite single sign-on. La ricerca ANY.RUN, resa nota il 25 agosto 2026, indica che il 48% degli indirizzi email presi di mira è stato potenzialmente compromesso. La campagna è attiva dal 2024 e risulta ancora in corso nel 2026.

I numeri sono significativi: 4.532 domini email di organizzazioni uniche sono potenzialmente collegati alla campagna, per un totale di circa 4.500 aziende, in prevalenza statunitensi ed europee. Sono stati rilevati più di 9.000 eventi di compromissione potenziale, con furto di cookie e password, login tramite single sign-on e bypass dell'autenticazione a due fattori.

Tecnica: adversary-in-the-middle per rubare sessioni autenticate

Il cuore dell'attacco è la tecnica adversary-in-the-middle (AiTM). L'attaccante si inserisce tra la vittima e il servizio legittimo Microsoft 365, intercettando le comunicazioni. A differenza del phishing tradizionale che punta solo a rubare le credenziali, qui l'obiettivo è la sessione autenticata: cookie di sessione e token vengono catturati in tempo reale mentre la vittima interagisce con una pagina di login falsa ma funzionante.

Il problema è che questo approccio aggira l'autenticazione a due fattori. La vittima inserisce la password e completa la verifica MFA, ma l'attaccante intercetta il cookie di sessione risultante. Da quel momento può utilizzare la sessione già autenticata senza dover ripetere la MFA. Le lacune sfruttate riguardano l'autenticazione e la gestione delle sessioni, non la debolezza della singola password.

Chi viene colpito: Stati Uniti in testa, poi Europa e Asia

La distribuzione geografica delle vittime mostra una netta predominanza degli Stati Uniti, che rappresentano il 63,7% del totale. L'attività è stata osservata anche in India, Singapore, Regno Unito, Canada, Arabia Saudita, Sudafrica e altri Paesi. I settori più colpiti sono tecnologia, manifatturiero e istruzione.

Non si tratta di un attacco indistinto: i 4.532 domini email unici suggeriscono un targeting mirato a organizzazioni specifiche, con una concentrazione su aziende statunitensi ed europee. La varietà di settori e di aree geografiche indica una campagna ampia e persistente.

Conseguenze: sessioni rubate e accesso SSO

Il danno non si limita al furto di credenziali. Con cookie di sessione e password rubati, gli attaccanti accedono a caselle email aziendali, account fidati e dati sensibili usando sessioni già autenticate. L'accesso tramite single sign-on estende il pericolo alle applicazioni collegate, ai flussi di lavoro interni e ai servizi cloud integrati con Microsoft 365.

La compromissione crea rischi di impersonificazione, frode e ulteriori attacchi interni. Una sessione dirottata è più difficile da individuare e bloccare rispetto a un login sospetto con credenziali rubate: l'utente legittimo appare autenticato normalmente, mentre l'attaccante opera in parallelo. I costi di contenimento aumentano perché il perimetro da bonificare non è un singolo account, ma ogni servizio SSO collegato.

Mitigazioni: trattare il furto di sessione come un incidente di identità

Le contromisure richiedono un cambio di prospettiva. Il primo passo è revocare immediatamente sessioni e token compromessi e avviare un'indagine sull'identità colpita. Il reset della password da solo non basta: se il cookie di sessione è ancora valido, l'attaccante mantiene l'accesso anche dopo il cambio credenziali.

Va adottata un'autenticazione resistente al phishing, che superi la MFA tradizionale basata su codici o notifiche push. Servono controlli di sessione più rigorosi, come la limitazione della durata dei token e il monitoraggio delle attività anomale. L'obiettivo è ridurre il valore di un cookie rubato e rendere più difficile per l'attaccante riutilizzare una sessione intercettata.

Rilevamento: sandbox interattiva e threat intelligence

Per intercettare la campagna prima della compromissione, la sandbox interattiva di ANY.RUN isola allegati e URL sospetti ed espone i passaggi dell'attacco: reindirizzamenti verso pagine finte di login Microsoft 365, script, attività WebSocket. Secondo il vendor, la piattaforma rileva le minacce in 14 secondi e riduce il tempo medio di risposta (MTTR) di 21 minuti per caso.

L'indagine non deve fermarsi ai singoli indicatori di compromissione. Loader ricorrenti, dati codificati e attività WebSocket sospette possono rivelare collegamenti con la campagna anche quando l'infrastruttura attaccante cambia. I feed di threat intelligence in tempo reale forniscono indicatori aggiornati, mentre il servizio Threat Intelligence Lookup consente di fare pivot da URL, domini, IP e file sospetti verso infrastruttura correlata, attingendo a dati provenienti da oltre 16.000 organizzazioni.