Truffa via email che ruba l’accesso a Microsoft 365
✓ Scheda corretta il 13 ottobre 2026 dopo un nuovo confronto con la fonte. Come teniamo aggiornate le schede
Cosa sta succedendo
I ricercatori di Cisco Talos hanno scoperto ARToken, una piattaforma che affitta ai criminali strumenti pronti all’uso per entrare negli account Microsoft 365, cioè la posta Outlook e i file su OneDrive e SharePoint. Funziona come un servizio per affiliati e risulta collegata a un’altra piattaforma già nota, EvilTokens, venduta in abbonamento a chi vuole truffare. L’inganno non consiste nel farti digitare la password su un sito copiato: arriva una email, spesso a nome di un fornitore vero e a tema fattura, che ti porta a inserire un codice di accesso sulla pagina di login ufficiale di Microsoft. Quando digiti quel codice, è Microsoft stessa a consegnare le chiavi di accesso (i cosiddetti token) ai truffatori, e così anche la verifica in due passaggi viene aggirata. Da quel momento possono leggere la posta, inviare email a tuo nome, scaricare allegati e creare regole che nascondono i messaggi.
Esempio concreto
Immagina di ricevere una email che sembra arrivare da un fornitore con cui lavori: parla di una fattura da controllare e il link mostra un indirizzo SharePoint dall’aspetto normale. Tocchi il link e ti viene chiesto di aprire la pagina di accesso di Microsoft e di digitare un codice per vedere il documento. La pagina è davvero quella di Microsoft, quindi ti fidi e inserisci il codice. In quel momento però non stai entrando tu: stai autorizzando il dispositivo dei truffatori, che ricevono da Microsoft le chiavi del tuo account e possono continuare a leggere la tua posta e a inviare email a tuo nome. Tu non ti accorgi di nulla.
Cosa fare se hai un iPhone (Apple)
1. Non inserire mai un codice di accesso che ti è stato fornito in una email o in un messaggio, nemmeno se la pagina in cui devi digitarlo è quella vera di Microsoft: quel codice autorizza il dispositivo di qualcun altro a entrare nel tuo account. Se l’hai già fatto, avvisa subito chi gestisce il tuo account (per un account di lavoro, l’ufficio informatico) perché chiuda gli accessi. 2. Attiva comunque la verifica in due passaggi su Microsoft 365: se è un account di lavoro chiedi a chi lo gestisce di attivarla; se è un account personale apri Safari, vai su account.microsoft.com, accedi, tocca ‘Sicurezza’ e cerca ‘Verifica in due passaggi’. Ricorda però che con questo inganno i criminali riescono ad aggirarla, perché l’accesso lo fai tu davvero. 3. Controlla dove porta un link prima di toccarlo: in Mail tieni premuto sul link per qualche secondo e leggi l’indirizzo che compare. I ricercatori hanno visto email in cui il testo mostra un indirizzo SharePoint credibile, mentre il link porta a uno spazio Microsoft 365 controllato dai truffatori. 4. Se il messaggio parla di una fattura o di un pagamento, telefona al fornitore usando un numero che avevi già tu, mai quello scritto nell’email. E controlla le regole della posta da Outlook sul computer o da Outlook sul web (nell’app del telefono non si gestiscono): se trovi regole che non hai creato, che spostano, inoltrano o cancellano messaggi, segnalalo subito a chi gestisce il tuo account.
Cosa fare se hai un Android
1. Non inserire mai un codice di accesso ricevuto in una email o in un messaggio, nemmeno se la pagina in cui va digitato è quella vera di Microsoft: serve ad autorizzare il dispositivo dei truffatori sul tuo account. Se l’hai già fatto, avvisa subito chi gestisce il tuo account (per un account di lavoro, l’ufficio informatico) perché chiuda gli accessi. 2. Attiva comunque la verifica in due passaggi su Microsoft 365: se è un account di lavoro chiedi a chi lo gestisce di attivarla; se è un account personale apri Chrome, vai su account.microsoft.com, accedi, tocca ‘Sicurezza’ e cerca ‘Verifica in due passaggi’. Tieni presente che in questo tipo di inganno può essere aggirata, perché l’accesso lo compi tu. 3. Controlla dove porta davvero un link: nell’app Gmail tieni premuto sul link per vedere l’indirizzo completo. Nelle email analizzate dai ricercatori il testo mostrava un indirizzo SharePoint dall’aspetto legittimo, mentre il collegamento portava a uno spazio Microsoft 365 dei truffatori. 4. Se il messaggio riguarda una fattura o un documento condiviso, chiama il fornitore a un numero che già conoscevi e chiedi conferma. Poi controlla le regole della posta da Outlook sul computer o da Outlook sul web (nell’app del telefono non si gestiscono): regole che non hai creato, che nascondono o inoltrano messaggi, vanno segnalate subito a chi gestisce l’account.
Cosa NON fare
- Non digitare mai un codice di accesso perché te lo ha chiesto una email, un messaggio o una telefonata, nemmeno sulla pagina di login ufficiale di Microsoft
- Non fidarti di una email solo perché parla di una fattura o di un documento condiviso su SharePoint: sono proprio le esche segnalate dai ricercatori, spesso a nome di fornitori reali
- Non pensare che la verifica in due passaggi basti sempre: con questo inganno i criminali riescono ad aggirarla
- Non fidarti dell’aspetto della pagina: qui la pagina può essere perfino quella autentica di Microsoft, ciò che cambia è chi riceve l’accesso
- Non ignorare gli avvisi del browser che segnalano un sito come pericoloso o non sicuro
- Non usare la stessa password di Microsoft 365 anche su altri siti o app: se una viene rubata, i truffatori provano subito le stesse credenziali ovunque
Domande frequenti su questa truffa
Le risposte alle domande che ci arrivano più spesso.
Come funziona la truffa che ruba l'accesso a Microsoft 365?
Perché la verifica in due passaggi non mi protegge da questa truffa?
Devo inserire il codice se la pagina è davvero quella di Microsoft?
Come capisco se il link in una email porta davvero a SharePoint?
Cosa faccio se ricevo una email che parla di una fattura da controllare?
Come capisco se i truffatori sono già entrati nel mio account?
Come scegliamo le fonti e come nasce ogni scheda: il nostro metodo.
🔗 Fonte: BleepingComputer, testata specializzata — articolo originale →
