Gli attacchi informatici piu efficaci oggi non sembrano attacchi. Arrivano come una chiamata dal reparto IT, un messaggio su Microsoft Teams, un file condiviso o una richiesta apparentemente innocua di cliccare su Allow per autorizzare un accesso.
Questa normalita e la vera forza del phishing moderno e della social engineering, che sfruttano strumenti legittimi e abitudini quotidiane per trasformare un singolo errore in accesso aziendale.
Tra gli scenari piu critici spiccano le campagne in cui attori malevoli si fingono help desk e convincono gli utenti ad avviare sessioni remote tramite strumenti RMM. Una volta ottenuto il controllo interattivo, possono usare PowerShell per installare pacchetti malevoli, introdurre impianti persistenti e muoversi lateralmente con tecniche come WinRM fino ad asset di alto valore come i domain controller. Varianti su larga scala includono vishing su Teams e perfino tentativi di NTLM relay, dimostrando come una semplice chat possa diventare un ponte verso la rete interna.
Il ransomware continua a evolvere con playbook ripetibili basati su accesso iniziale opportunistico, escalation rapida dei privilegi, evasione difese e sabotaggio dei backup prima della cifratura. In parallelo cresce il mercato phishing as a service, con kit avanzati che includono browser in the middle per rubare credenziali e sessioni, filtri anti bot e passaggi successivi che installano client remoti configurati su infrastrutture controllate dagli attaccanti.
Anche piccoli dettagli possono innescare infezioni: un dominio digitato male puo portare a siti contraffatti e download firmati che sembrano affidabili, capaci di trasformare comandi remoti in input di tastiera e mouse, riducendo la visibilita degli EDR. Sul fronte cloud e identita, un caso rilevante riguarda la compromissione di migliaia di account legata a integrazioni legacy e assenza di autenticazione a due fattori, ricordando quanto le vecchie opzioni di accesso restino un punto debole.
Infine, le trappole OAuth mostrano che cambiare password non basta. Un consenso malevolo a unapp puo mantenere accesso anche dopo il reset. La risposta deve includere revoca delle sessioni, rimozione delle app sconosciute, verifica di strumenti remoti e revisione delle autorizzazioni gia concesse.