In breve
La Digital Crimes Unit di Microsoft ha smantellato EvilTokens, un servizio in abbonamento che riuniva in un unico prodotto la presa di controllo degli account, l’analisi delle caselle di posta tramite IA e strumenti per le frodi sui pagamenti. È collegato a oltre 12.000 caselle compromesse in più di 10.000 organizzazioni. L’operazione, basata su un provvedimento di un tribunale del Distretto orientale della Virginia, ha portato al sequestro di 50 siti e di oltre 150 domini di supporto; la polizia britannica ha arrestato due sospettati. Il dettaglio più importante per chi difende è il metodo: un phishing con codice dispositivo che aggirava l’autenticazione a più fattori, seguito da un chatbot IA che trasformava ogni casella rubata in attacchi di business email compromise (truffa del CEO) pronti all’uso.
La lezione non è «il phishing è tornato». È che l’IA ha abbattuto le competenze e il tempo necessari per mettere a segno una frode BEC. Ricognizione, scelta degli obiettivi e impersonificazione, le fasi che un tempo richiedevano un essere umano paziente, ora sono automatizzate. Se la vostra gestione delle identità si basa ancora su password + MFA e considera affidabile un’e-mail una volta che l’utente ha effettuato l’accesso, questa è proprio la campagna che passa.
Che cosa ha annunciato Microsoft, e perché conta
Secondo Microsoft, la Digital Crimes Unit, su ordine della U.S. District Court for the Eastern District of Virginia, ha sequestrato 50 siti web usati per gestire EvilTokens e, lavorando con partner del settore e forze dell’ordine, ha oscurato oltre 150 domini aggiuntivi legati all’infrastruttura della piattaforma. Microsoft traccia l’operazione come Storm-2992 e la collega a oltre 12.000 caselle di posta compromesse in più di 10.000 organizzazioni. La Metropolitan Police di Londra ha arrestato due uomini di 32 e 38 anni l’11 settembre in relazione al servizio.
Ciò che rende EvilTokens degno di nota è che si trattava di un prodotto, non di una campagna isolata. Lanciato a febbraio 2026 e venduto su Telegram a 1.500 $ di attivazione più 500 $ al mese, riuniva presa di controllo degli account, analisi IA delle caselle e strumenti di frode in un unico abbonamento: la stessa mercificazione che ha trasformato il ransomware in «ransomware-as-a-service». Gli investigatori hanno tracciato circa 1,1 mln $ di ricavi in criptovalute, e Microsoft afferma che l’operazione è stata coordinata con Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, la Shadowserver Foundation e TRM Labs.
La distribuzione delle vittime è un avvertimento in particolare per le medie imprese. Secondo Microsoft, l’impatto si è concentrato negli Stati Uniti, in Canada, nel Regno Unito, in Australia, in India e in Francia, colpendo settori che vanno dalla distribuzione e dall’edilizia ai servizi finanziari e alla sanità. Sono proprio le organizzazioni che fanno passare denaro reale per e-mail (fatture, istruzioni di bonifico, ordini di acquisto) ma che spesso non dispongono di un team dedicato alle identità o all’antifrode di livello FinTech. È esattamente questa lacuna che EvilTokens era pensato per monetizzare.
Come il phishing con codice dispositivo aggira l’MFA
La tecnica alla base di EvilTokens sfrutta il flusso di autorizzazione dei dispositivi OAuth 2.0, il meccanismo legittimo che permette di collegare al proprio account una smart TV o uno strumento da riga di comando digitando un codice breve sul telefono. Un’esca di phishing (una fattura, una richiesta di offerta, un file condiviso) porta la vittima su una pagina che, in background, chiede al provider di identità di Microsoft un codice dispositivo valido. Alla vittima viene chiesto di inserire quel codice sulla vera pagina microsoft.com/devicelogin e di completare il normale accesso, MFA inclusa.
Ecco la trappola: poiché il codice appartiene alla sessione dell’attaccante, il provider di identità rilascia i token di accesso e di aggiornamento all’attaccante, non alla vittima. L’utente ha fatto tutto correttamente (sito autentico, richiesta MFA autentica) e ha comunque consegnato una sessione autenticata. L’MFA tradizionale non serve, perché la verifica era reale: ha semplicemente autorizzato il client sbagliato. Peggio ancora, il token di aggiornamento rubato continua a concedere l’accesso anche dopo il cambio della password, finché la sessione o il token non vengono revocati esplicitamente.
Il resto lo fa l’IA. Microsoft descrive un chatbot IA che, una volta dentro una casella di posta, individuava i contatti dell’area finanza e del vertice aziendale, metteva in evidenza le conversazioni su bonifici e fatture in sospeso e redigeva messaggi a nome di contatti fidati per dirottare i pagamenti. Il lavoro di ricognizione e scrittura che un esperto truffatore BEC svolgeva a mano (capire l’organigramma, imitare il tono, scegliere il momento giusto per la richiesta) ora viene generato su richiesta. Ecco cosa significa qui «basato sull’IA»: non un malware più intelligente, ma ingegneria sociale su scala industriale.
Cosa significa per i team software negli Stati Uniti e nell’UE
Il primo cambiamento è che l’MFA non può più essere il traguardo della vostra strategia sulle identità. Il phishing con codice dispositivo e quello basato sul consenso rubano token dopo una verifica MFA legittima, quindi i controlli che contano ora riguardano il token: se il flusso con codice dispositivo è consentito, quanto durano le sessioni e con che rapidità potete revocarle. Se sviluppate o gestite software per altri, è anche una questione di prodotto: le stesse scelte di identità sicure per impostazione predefinita devono far parte del software su misura che consegnate, non solo del vostro tenant aziendale.
Il secondo cambiamento è l’integrità dei pagamenti come controllo tecnico, non come PDF di policy. La frode BEC riesce nel momento in cui una persona si fida di un’e-mail al punto da modificare le coordinate bancarie o autorizzare un bonifico. Nei settori regolamentati (FinTech, HealthTech, tutto ciò che riguarda GDPR, SOC 2 o l’AI Act europeo) questa fiducia deve essere sostenuta da una verifica su un canale separato, da una doppia approvazione delle modifiche ai pagamenti e da una traccia di audit. Un flusso che permette a una sola e-mail convincente di dirottare denaro è un difetto di progettazione, per quanto sia buona la vostra formazione.
Il terzo cambiamento è un rilevamento pensato per le identità, non solo per gli endpoint. I segnali che smascherano questa classe di attacchi sono l’emissione anomala di token, gli accessi da client inattesi, gli spostamenti impossibili e le nuove regole della casella di posta che nascondono le risposte. Questi segnali si trovano nei log delle identità e della posta, e senza lavoro di ingegneria restano rumore. Costruire questo monitoraggio e provare la revoca fa parte del lavoro che integriamo nell’hardening cloud e DevOps, così che un token rubato faccia scattare un allarme in pochi minuti e non un report forense dopo settimane.
Cosa significa EvilTokens per le aziende italiane
In Italia questo schema è noto come truffa del CEO o frode del falso fornitore, e la Polizia Postale segnala da anni casi di bonifici dirottati verso IBAN fraudolenti. EvilTokens alza il livello: i messaggi non arrivano più da indirizzi contraffatti, ma dalle vere caselle di fornitori e colleghi, quindi il controllo del mittente non basta. Per le PMI che gestiscono fatture e pagamenti via e-mail, la regola più efficace è confermare ogni cambio di IBAN con una telefonata a un numero già noto, mai a quello indicato nel messaggio.
Sul fronte normativo, una casella di posta compromessa è quasi sempre una violazione di dati personali: l’art. 33 del GDPR prevede di norma la notifica al Garante per la protezione dei dati personali entro 72 ore. Le aziende che rientrano nella NIS2, recepita in Italia con il d.lgs. 138/2024 e seguita dall’Agenzia per la Cybersicurezza Nazionale (ACN), devono inoltre dimostrare misure di gestione del rischio come l’autenticazione forte. Disattivare il flusso con codice dispositivo dove non serve e adottare fattori resistenti al phishing per gli account amministrativi e dell’area finanza sono interventi semplici da documentare in sede di verifica.
Cosa fare subito
- Blindare il flusso con codice dispositivo. Bloccatelo o limitatelo con l’accesso condizionale; consentitelo solo ai dispositivi o alle app che ne hanno davvero bisogno. Per la maggior parte degli utenti può essere disattivato del tutto.
- Passare a un’autenticazione resistente al phishing. Passkey e FIDO2 neutralizzano l’intera categoria di attacchi che inducono l’utente a rispondere a una richiesta MFA. Date priorità agli account dell’area finanza, del vertice aziendale e degli amministratori.
- Accorciare e revocare. Riducete la durata dei token, attivate dove disponibile la valutazione continua dell’accesso (Continuous Access Evaluation) e fate della revoca di token e sessioni un runbook da un clic, non un ticket.
- Verificare i pagamenti su un altro canale. Richiedete un secondo canale e una doppia approvazione per qualsiasi modifica alle coordinate bancarie o alle istruzioni di bonifico. Considerate per impostazione predefinita non verificate le richieste arrivate solo via e-mail.
- Testare l’attacco reale. Svolgete audit di sicurezza e simulazioni di phishing che coprano i flussi con codice dispositivo e basati sul consenso, non solo il clic sui link, e monitorate i log delle identità per individuare emissioni anomale di token.
Domande frequenti
Che cos’è EvilTokens e che cosa ha fatto Microsoft il 22 settembre 2026?
EvilTokens era una piattaforma di phishing-as-a-service basata sull’IA, tracciata da Microsoft come Storm-2992, che riuniva presa di controllo degli account, analisi IA delle caselle di posta e strumenti di frode in un unico abbonamento. Il 22 settembre 2026 la Digital Crimes Unit di Microsoft, su ordine della U.S. District Court for the Eastern District of Virginia, ha sequestrato 50 siti web e, insieme ai partner, ha oscurato oltre 150 altri domini. La piattaforma è collegata a più di 12.000 caselle compromesse in oltre 10.000 organizzazioni.
Come faceva EvilTokens ad aggirare l’autenticazione a più fattori?
Sfruttava il flusso di autorizzazione dei dispositivi OAuth 2.0 (codice dispositivo). Un’esca di phishing induceva la vittima a inserire un codice dispositivo valido sulla vera pagina microsoft.com/devicelogin. Quando la vittima completava il proprio accesso, MFA inclusa, il provider di identità rilasciava i token di accesso e di aggiornamento al client dell’attaccante. Poiché la verifica MFA era autentica, l’MFA tradizionale non impediva il furto, e il token di aggiornamento rubato poteva garantire l’accesso fino alla revoca della sessione o del token.
Che cosa faceva esattamente la componente IA?
Una volta compromessa una casella, un chatbot IA ne analizzava il contenuto per individuare i contatti dell’area finanza e del vertice aziendale, mettere in evidenza le conversazioni su bonifici e fatture in sospeso e redigere messaggi a nome di contatti fidati per dirottare i pagamenti. In questo modo automatizzava le fasi di ricognizione e ingegneria sociale della business email compromise, che prima richiedevano un operatore umano esperto.
Chi è stato colpito e quanto è costato alle vittime?
Secondo Microsoft le vittime si concentravano negli Stati Uniti, in Canada, nel Regno Unito, in Australia, in India e in Francia, in settori che vanno dalla distribuzione e dall’edilizia ai servizi finanziari e alla sanità. Gli investigatori hanno tracciato circa 1,1 mln $ di ricavi in criptovalute riconducibili all’operazione, e la polizia britannica ha arrestato due uomini di 32 e 38 anni l’11 settembre 2026.
Cosa dovrebbero fare i team negli Stati Uniti e nell’UE contro il phishing con codice dispositivo?
Bloccate o limitate rigorosamente il flusso con codice dispositivo con l’accesso condizionale, passate a un’autenticazione resistente al phishing come passkey o FIDO2, accorciate la durata dei token e abilitate una revoca rapida, e monitorate emissioni anomale di token e accessi con spostamenti impossibili. Per i pagamenti, richiedete una verifica su un canale separato per qualsiasi modifica alle coordinate bancarie e svolgete audit di sicurezza e simulazioni di phishing che coprano in modo specifico gli attacchi con codice dispositivo e basati sul consenso.
Fonti
Microsoft On the Issues — Disrupting EvilTokens: The AI Chatbot Built for Cybercrime (comunicato aziendale)
The Hacker News — Microsoft Takes Down EvilTokens Device-Code Phishing Service
Help Net Security — Microsoft disrupts EvilTokens phishing service that gave criminals access to 12,000 inboxes