MFA attiva, casella violata: il furto di sessione

Molti studi hanno attivato l’autenticazione a due fattori su Microsoft 365 e considerano chiuso il tema della posta. Il furto di sessione con tecnica adversary-in-the-middle (AiTM) la aggira senza romperla: un reverse proxy, spesso costruito con kit pronti come Evilginx, si mette tra il professionista e la pagina di accesso vera, inoltra password e codice, e trattiene il cookie di sessione che Entra ID rilascia dopo il secondo fattore (per esempio ESTSAUTH). Con quel cookie l’attaccante apre la casella da un altro browser senza che venga chiesto nulla.

Perché la MFA dello studio non ferma il furto di sessione

Codici OTP, notifiche push e SMS proteggono il momento dell’accesso, non la sessione che ne deriva. Il proxy vede il codice nello stesso istante in cui lo vede Microsoft. Resistono invece i metodi legati all’origine, cioè FIDO2 e passkey: la chiave firma la richiesta solo per il dominio legittimo e su un dominio contraffatto non risponde.

Cosa cercare nei log

• Nei log di accesso di Entra ID: un accesso riuscito con MFA soddisfatta seguito, a pochi minuti, da un accesso con lo stesso identificativo di sessione ma indirizzo IP, ASN o paese diversi.
• Nel registro di controllo unificato: operazioni New-InboxRule, Set-InboxRule o UpdateInboxRules, con regole che spostano in cartelle poco visitate (RSS Feeds, Archivio) i messaggi che contengono «bonifico», «IBAN» o il nome di un cliente.
• Registrazione di un nuovo metodo di autenticazione sull’account, che serve all’attaccante per restare dentro anche dopo il cambio password.

Con PowerShell, Get-InboxRule -Mailbox seguito dall’indirizzo elenca le regole di ogni casella. Su uno studio di dieci persone il controllo richiede pochi minuti, e conviene farlo anche senza sospetti: se le regole sono già state create, è probabile che una frode sui pagamenti sia in preparazione.

Le misure che reggono

Per soci e amministrazione, chi autorizza o comunica pagamenti, servono metodi resistenti al phishing imposti con l’accesso condizionale tramite la «forza dell’autenticazione». Lo stesso accesso condizionale può consentire la posta solo da dispositivi conformi gestiti con Intune: un cookie rubato, usato da un PC estraneo, viene respinto. Richiede licenze Entra ID P1, incluse in Microsoft 365 Business Premium.

A ogni sospetto il cambio password non basta: vanno revocate le sessioni (Revoke-MgUserSignInSession), rimosse le regole e i metodi MFA aggiunti. Anche senza licenze avanzate, il criterio antispam in uscita con AutoForwardingMode impostato su Off blocca l’inoltro automatico verso domini esterni. Se l’incidente è già avvenuto, la ricostruzione dipende da quanto i log di Microsoft 365 sono ancora disponibili; il quadro più ampio dei rischi per gli studi professionali e il percorso di incident response partono da qui.