Mostra sommario Nascondi sommario
- Perché il flusso con device code attira i criminali informatici
- Il meccanismo dell’attacco spiegato passo dopo passo
- Strumenti e servizi che alimentano gli attacchi: PaaS, EvilToken e AI
- Che cosa possono fare gli aggressori una volta ottenuto il token
- Impatto in Italia: segnalazioni dal CERT-AGID e settori a rischio
- Contromisure pratiche e raccomandazioni di sicurezza
Un nuovo filone di truffe informatiche sta sfruttando un meccanismo legittimo di accesso per compromettere account aziendali e pubblici. Gli attaccanti combinano kit di phishing commerciali e strumenti di intelligenza artificiale per creare messaggi credibili e automatizzare l’intero processo. In Italia sono già emerse segnalazioni che coinvolgono enti della Pubblica Amministrazione.
Perché il flusso con device code attira i criminali informatici
Il metodo di autenticazione con codice dispositivo è nato per facilitare l’accesso su dispositivi senza tastiera o browser avanzati. Questa semplicità, però, viene ora sfruttata come leva dagli aggressori. Il flusso mostra un codice temporaneo che l’utente deve inserire su una pagina web. Se ingannato, consegna l’accesso senza rivelare la password.
Galaxy H1: in arrivo le cuffie over-ear di Samsung
Lenovo a IFA 2026: due notebook super sottili, uno con display OLED espandibile
Il meccanismo dell’attacco spiegato passo dopo passo
Gli schemi di compromissione seguono procedure ripetibili e automatizzate. I punti essenziali sono:
- Raccolta informazioni: gli attaccanti cercano obiettivi business e contatti.
- Creazione di messaggi convincenti: l’AI genera email professionali e personalizzate.
- Invio del link malevolo: il corpo del messaggio contiene un collegamento a una pagina fasulla.
- Generazione del codice: uno script comunica con la piattaforma di identità per ottenere il device code.
- Facilitazione dell’incollamento: il codice può essere copiato automaticamente negli appunti della vittima.
- Autenticazione del token: quando l’utente incolla e conferma, il back-end degli aggressori riceve il token.
In sintesi, la procedura inganna l’utente a validare una sessione che poi gli attaccanti usano come gateway per accedere alle risorse.
Strumenti e servizi che alimentano gli attacchi: PaaS, EvilToken e AI
I criminali non lavorano più uno a uno. Usano offerte di tipo Phishing-as-a-Service (PaaS) che semplificano l’operazione. Tra i kit citati compariono nomi come EvilToken, affiancati da tool di intelligenza artificiale per:
- generare testi e oggetti multimediali realistici;
- automatizzare l’invio di campagne mirate;
- gestire le fasi di exploit e raccolta token.
Questo mix abbassa la barriera tecnica e amplia la portata degli attacchi.
Che cosa possono fare gli aggressori una volta ottenuto il token
Con il token di accesso gli attaccanti ottengono vaste possibilità di movimento laterale. Azioni comuni includono:
- registrare nuovi dispositivi collegati all’account;
- creare regole di inoltro e filtri nella casella di posta;
- estrarre allegati e messaggi contenenti informazioni sensibili;
- usare l’account come piattaforma per ulteriori frodi.
Queste manipolazioni possono restare attive senza che la vittima noti immediatamente anomalie evidenti.
Impatto in Italia: segnalazioni dal CERT-AGID e settori a rischio
Le autorità nazionali hanno identificato casi concreti che coinvolgono uffici pubblici. Il CERT-AGID ha rilanciato allarmi e consigli per amministrazioni e imprese. Settori con flussi di comunicazione intensi sono particolarmente vulnerabili:
- enti della Pubblica Amministrazione;
- aziende con gestione centralizzata delle email;
- fornitori di servizi e consulenze con accesso a dati sensibili.
Contromisure pratiche e raccomandazioni di sicurezza
Microsoft e gli esperti di cybersecurity invitano a limitare l’uso del flusso con codice dispositivo. Per ridurre il rischio si consiglia di applicare queste misure:
- abilitare l’autenticazione a più fattori ove possibile.
- monitorare i token e le sessioni attive per attività sospette.
- implementare policy che impediscano la registrazione automatica di dispositivi non autorizzati.
- formare il personale su tecniche di social engineering e phishing.
- usare filtri antispam avanzati e analisi del comportamento delle email.
Limitare l’impiego del device code ai soli scenari indispensabili e adottare controlli di rete e di identità resta la linea principale di difesa.
