Avere l'autenticazione a più fattori attiva non basta, se resta un varco da cui l'MFA non viene mai richiesto. È la lezione di una campagna di password spray documentata da Huntress e ripresa nei giorni scorsi da diverse testate di settore: tra il 12 e il 26 giugno 2026 un attore ostile ha generato oltre 81 milioni di tentativi di accesso contro account Microsoft 365, riuscendo a comprometterne almeno 78 distribuiti su 64 organizzazioni.

Cosa è successo

Il punto che rende questa campagna significativa non è tanto il volume, quanto il metodo. Gli attaccanti si sono autenticati tramite l'interfaccia a riga di comando di Azure (Azure CLI) sfruttando un flusso OAuth deprecato chiamato ROPC (Resource Owner Password Credentials). ROPC prevede che l'applicazione invii direttamente nome utente e password al servizio di identità, senza il reindirizzamento al browser su cui si innestano i controlli moderni. Il risultato è che, in molte configurazioni, questo flusso scavalca le policy di Conditional Access (accesso condizionato) e, con esse, l'MFA.

Qui sta il paradosso segnalato dai ricercatori: molte delle organizzazioni colpite avevano le policy di Conditional Access attive e si credevano quindi protette. Ma quelle policy non erano configurate per intercettare gli accessi ROPC via Azure CLI, e così l'MFA semplicemente non è mai scattato. Le credenziali usate non erano nuove: provenivano da data breach precedenti, riutilizzate in un classico attacco di credential stuffing su larga scala. La maggior parte del traffico proveniva da un unico operatore di rete (LSHIY LLC), con indirizzi IP che risolvono in parte negli Stati Uniti e in parte in Cina.

La campagna non è un episodio isolato: secondo Huntress il volume degli attacchi di credential spray è aumentato di oltre 155 volte all'interno della propria base clienti, con un picco tra fine maggio e inizio giugno. È un segnale di industrializzazione della tecnica, non un caso sporadico.

Cosa significa per le aziende italiane

Microsoft 365 è ormai la spina dorsale della produttività per gran parte delle aziende italiane, dalle PMI agli studi professionali fino alla PA. Negli ultimi anni il messaggio "attivate l'MFA" è stato recepito da molte organizzazioni, ma spesso si è fermato lì: MFA attivo non significa MFA applicato a tutti i percorsi di autenticazione. I flussi legacy e ROPC restano un angolo cieco, perché non passano dalle stesse verifiche degli accessi interattivi. Un'azienda che ha diligentemente distribuito l'MFA ai propri utenti può quindi trovarsi esposta esattamente come chi non l'ha mai attivata, se non ha bloccato i protocolli di autenticazione legacy.

Il secondo fattore che espone il tessuto produttivo italiano è il riutilizzo delle password. Le credenziali che alimentano queste campagne arrivano da vecchie violazioni, e la sovrapposizione tra password personali e aziendali resta altissima. Un dipendente che riusa la stessa password del proprio account personale — già finito in un breach — regala all'attaccante la chiave d'ingresso al tenant aziendale.

Le conseguenze non sono soltanto tecniche. Un account Microsoft 365 compromesso significa spesso accesso alla posta, ai file su SharePoint e OneDrive e, da lì, un trampolino per frodi del tipo Business Email Compromise. Se nel tenant sono trattati dati personali, la compromissione può configurare una violazione ai sensi del GDPR, con obbligo di notifica al Garante entro 72 ore; per i soggetti nel perimetro NIS2 si aggiungono gli obblighi di notifica al CSIRT Italia.

Cosa fare subito

  • Bloccare i flussi di autenticazione legacy e ROPC tramite Conditional Access, verificando esplicitamente che le policy coprano anche gli accessi non interattivi e i client come l'Azure CLI.
  • Controllare i sign-in log alla ricerca di autenticazioni tramite il client Azure CLI e di pattern di password spray: molti tentativi falliti su molti utenti da pochi indirizzi, e "viaggi impossibili".
  • Adottare MFA resistente al phishing (chiavi FIDO2, passkey) al posto di OTP e notifiche push, dove possibile.
  • Forzare il reset delle password degli account potenzialmente coinvolti e verificare la presenza di regole di inoltro della posta o di consensi OAuth sospetti creati dopo un accesso anomalo.
  • Sensibilizzare gli utenti sul riutilizzo delle password, valutando un gestore di password aziendale e il blocco delle password compromesse note.
  • Rivedere periodicamente le policy di Conditional Access: attivarle non basta, vanno testate contro i flussi che le aggirano.