Consent phishing su Microsoft 365: l'attacco che resiste al cambio password

Il 16 ottobre 2026 il CSIRT Italia ha pubblicato il bollettino BL01/261016/CSIRT-ITA sull'uso sistematico del consent phishing contro gli ambienti Microsoft 365 ed Entra ID, il sistema con cui Microsoft gestisce gli account aziendali. La vittima non consegna la password: autorizza un'applicazione controllata dall'attaccante ad accedere a posta, contatti e documenti. La tecnica è descritta anche nella documentazione di Microsoft, che spiega come difendersi.

Come funziona il consent phishing?

Quando colleghi un'applicazione esterna al tuo account Microsoft (un'app per firmare documenti, un calendario condiviso, un servizio per le note), compare una schermata che chiede: "Questa app vuole leggere la tua posta, i tuoi file… Accetti?". È una schermata vera, ospitata da Microsoft.

Il consent phishing sfrutta proprio questo. Secondo il CSIRT:

1. l'attaccante registra in anticipo un'applicazione su Entra ID, configurata per chiedere permessi di lettura e scrittura su dati sensibili;
2. manda alla vittima un'email mirata, o inserisce il collegamento in un sito compromesso;
3. il link apre la normale procedura di autorizzazione di Microsoft, e la vittima clicca "Accetta";
4. da quel momento l'app chiede a Microsoft nuovi accessi quando vuole e legge posta, rubrica e documenti, senza conoscere la password e senza fare login.

Microsoft lo dice in modo chiaro: siccome la schermata è ospitata da un fornitore legittimo, le persone si fidano e accettano.

Perché è più grave di un phishing normale?

Perché l'accesso non dipende dalla password. Il CSIRT sottolinea che cambiare la password e avere l'autenticazione a più fattori non basta a interromperlo: il permesso concesso all'app resta valido finché qualcuno non lo revoca.

È una differenza importante per una piccola impresa, dove la reazione tipica a un sospetto è "cambio la password e sono a posto". In questo caso no: l'app continua a leggere la posta, magari per settimane, intercettando fatture, IBAN e conversazioni con i clienti.

Cosa fare se un account è stato colpito?

Il bollettino indica alcune azioni di contenimento:

• revocare subito le autorizzazioni concesse all'app malevola, dal centro di amministrazione di Entra (scheda Applicazioni dell'utente) o con i comandi PowerShell indicati;
• bloccare temporaneamente l'accesso dell'utente mentre si capisce l'estensione del problema;
• estrarre l'elenco di tutti i consensi concessi nell'organizzazione e cercare app sconosciute con permessi di lettura o scrittura;
• nei casi più gravi, disattivare per tutti l'integrazione di app di terze parti, sapendo che si fermeranno anche quelle legittime.

Come si previene?

Le indicazioni del CSIRT e di Microsoft coincidono:

1. Togliere agli utenti la possibilità di autorizzare app di terze parti, o permetterla solo per app di editori verificati e con permessi a basso rischio.
2. Attivare il flusso di approvazione dell'amministratore: chi vuole collegare una nuova app la chiede, e qualcuno la valuta prima.
3. Controllare con regolarità i registri di audit alla ricerca dell'attività "Consent to application".
4. Rivedere periodicamente le app collegate e i permessi che hanno.
5. Spiegare alle persone che una schermata Microsoft che chiede permessi su posta e file merita la stessa attenzione di una richiesta di password.

Cosa cambia per una PMI?

In una piccola azienda spesso nessuno ha il compito esplicito di amministrare Microsoft 365, e le impostazioni restano quelle predefinite. Il primo passo è sapere chi ha il ruolo di amministratore del vostro account e chiedergli di controllare le impostazioni di consenso: è un intervento di pochi minuti che chiude una porta intera. Per il resto, valgono le regole per riconoscere il phishing aziendale e l'autenticazione a due fattori, che restano necessarie anche se qui non bastano.

Ne parliamo?

Quando collego un gestionale a Microsoft 365, per esempio per leggere la posta o salvare documenti con un'integrazione via API, chiedo solo i permessi che servono e li concordo con chi amministra l'account. Lo stesso vale per ogni automazione dei processi che lavora sulla posta aziendale. Se vuoi sapere quali app hanno accesso ai dati della tua azienda e come metterle in ordine, partiamo da una consulenza tecnica. Scrivimi dalla pagina contatti.

Fonti

• Microsoft Entra ID: sfruttamento di tecniche di consent phishing per l'acquisizione di autorizzazioni applicative (ACN, CSIRT Italia)
• Protect against consent phishing - Microsoft Entra ID (Microsoft Learn)

Crediti delle immagini

• Copertina: foto di Miguel Á. Padriñán su Pexels