Consent phishing su Microsoft 365 ed Entra ID: app OAuth malevole leggono posta e file anche dopo il cambio password

Attaccanti che registrano in Microsoft Entra ID un'applicazione multi-tenant e convincono utenti e amministratori ad autorizzarla: è il consent phishing, di cui ACN ha segnalato il 16 ottobre 2026, in un proprio bollettino, l'utilizzo sistematico contro le infrastrutture basate su Entra ID e Microsoft 365. Non c'è una CVE né un CVSS, perché la tecnica usa il normale flusso di autorizzazione OAuth 2.0 previsto dalla piattaforma. Il link arriva con email mirate o con codice inserito in portali web compromessi e porta sulla pagina autentica di accesso di Microsoft, login.microsoftonline.com, dove compare la richiesta di permessi dell'applicazione. Se la vittima accetta, l'app ottiene token di accesso e refresh token e li usa con le API di Microsoft Graph: con il consenso di un utente comune legge in silenzio la sua posta, grazie al permesso Mail.Read, o modifica i suoi file su OneDrive e SharePoint con Files.ReadWrite; se a concedere il consenso per tutto il tenant è un amministratore, l'accesso si estende alle risorse dell'intera organizzazione. Nessuna credenziale viene intercettata e il dominio è davvero quello di Microsoft: il controllo dell'indirizzo della pagina, fra i primi consigli della formazione antiphishing, qui non segnala nulla.

Il punto critico, spiega ACN, è che l'accesso appartiene all'applicazione, che continua a chiedere nuovi token a Entra ID senza le credenziali della vittima né accessi interattivi, e per questo cambio della password, MFA e disconnessione delle sessioni non lo interrompono. Anche i log di accesso non mostrano anomalie, perché l'utente si è autenticato in modo regolare: la traccia sta nei log di audit, alla voce Consent to application, e la persistenza cessa solo quando un amministratore revoca il consenso o elimina l'app dal tenant. Microsoft aggiunge che l'evento può comparire nei log con un ritardo fino a 24 ore e che, per ricostruire che cosa l'app abbia letto, l'audit delle caselle e delle attività deve essere attivo già prima dell'attacco. Un riscontro esterno recente viene dall'FBI, che il 1° settembre ha avvertito dell'uso della stessa tecnica dalla fine del 2025 contro persone in vista, i loro familiari e conoscenti, su account personali: il contatto arriva via email, SMS o app di messaggistica da chi si finge funzionario governativo, giornalista o personaggio noto, e l'app può avere un nome che richiama un servizio di archiviazione o di verifica dell'identità. Il dato sull'uso sistematico contro i tenant aziendali viene dalla segnalazione di ACN, e al momento non sono noti attori, campagne con un nome né casi italiani. L'agenzia collega la tecnica a due propri bollettini precedenti, del 7 aprile sul Device Code Grant e del 31 luglio sui kit TokenLover e YaksaLover, che descrivevano attacchi basati anch'essi su token OAuth 2.0 emessi regolarmente da Microsoft, dove però la vittima autorizzava una sessione con un codice dispositivo.

Microsoft 365 ed Entra ID sono la piattaforma di posta e documenti di molti enti pubblici, scuole, aziende sanitarie e PMI, e le impostazioni predefinite proteggono questi tenant solo in parte. La policy di consenso gestita da Microsoft, predefinita nei nuovi tenant, impedisce agli utenti di autorizzare da soli la lettura della posta, l'accesso a calendari e chat e quello a tutti i file e i siti raggiungibili dal loro account, ma lascia autorizzabili i permessi sui loro file personali; un amministratore, poi, può sempre concedere il consenso a nome di tutto il tenant, e nessuna modifica alle impostazioni cancella i consensi già concessi. A doversene preoccupare è chi amministra un tenant in cui gli utenti possono ancora autorizzare liberamente app di terze parti, o in cui valgono policy di consenso personalizzate e permissive, e chi non ha mai fatto l'inventario dei consensi esistenti; i bersagli più redditizi sono gli account con ruoli amministrativi e quelli che gestiscono posta e documenti delicati, come segreterie, uffici acquisti, ragionerie e dirigenti. Quanto pesino i permessi delle applicazioni lo ha mostrato nella stessa settimana un caso di natura diversa: dal 15 ottobre una credenziale dell'app ConnectWise Cloud Backup, già autorizzata dai clienti nei propri tenant, è stata usata per ottenere token Graph, e Huntress ha confermato al 16 ottobre accessi non autorizzati in 162 tenant fra quelli che monitora. Il consenso lì era legittimo, eppure l'accesso avveniva a nome dell'applicazione, dove l'MFA degli utenti non entra in gioco, come nel consent phishing. L'inventario delle app autorizzate costa poco e va fatto anche nei tenant già configurati in modo restrittivo.

• Versioni affette: nessuna versione software, perché la tecnica usa il flusso di consenso OAuth 2.0 previsto dalla piattaforma. Sono esposti i tenant Microsoft Entra ID in cui gli utenti possono autorizzare da soli app di terze parti e i tenant Microsoft 365 (Exchange Online, SharePoint Online, OneDrive for Business, Teams) in cui app autorizzate accedono ai dati tramite Microsoft Graph; più a rischio quelli senza audit di Microsoft Purview attivo o senza policy di rilevamento delle app OAuth anomale in Defender for Cloud Apps.
• Azione raccomandata: se si sospetta un consenso illecito, revocare i consensi delegati e le assegnazioni di ruolo dell'app o rimuoverla dal tenant e bloccare temporaneamente l'accesso dell'utente coinvolto mentre se ne delimita la portata, ricordando che cambio password, MFA e chiusura delle sessioni da soli non bastano; fare l'inventario dei consensi del tenant, cercando quelli concessi per l'intera organizzazione e i permessi di lettura e scrittura su posta e file dati ad app sconosciute, dai nomi generici o storpiati, o di publisher non affidabili; limitare il consenso degli utenti alle app di publisher verificati o sviluppate internamente e ai permessi a basso impatto, oppure disattivarlo, e attivare il flusso di approvazione amministrativa per tutte le altre; cercare ogni settimana gli eventi Consent to application nei log di audit di Microsoft Purview, dopo aver verificato che l'audit sia attivo, e attivare in Defender for Cloud Apps le policy sulle app OAuth anomale; disattivare le app integrate per l'intero tenant solo come misura d'emergenza, perché blocca ogni nuovo consenso e pesa su tutte le applicazioni non Microsoft.

Fonti: ACN, Microsoft, Microsoft Entra, FBI, Huntress