Team MailSniper
Autore
Nelle ultime settimane, i ricercatori di sicurezza hanno individuato il primo caso documentato di add-in malevolo per Microsoft Outlook specificamente progettato per il furto massivo di credenziali. Il bilancio è allarmante: oltre 4.000 account Microsoft compromessi in poche settimane, con vittime distribuite prevalentemente tra PMI europee e nordamericane.
Questo attacco rappresenta un'evoluzione significativa nel panorama delle minacce email. Non si tratta del classico phishing via messaggio, ma di un componente software che si installa direttamente nel client di posta, operando dall'interno e sfuggendo alla maggior parte dei controlli di sicurezza tradizionali.
L'attacco inizia con un'email di spear phishing mirata, spesso mascherata da comunicazione del reparto IT aziendale o da un fornitore di servizi cloud. Il messaggio invita l'utente a installare un "aggiornamento di sicurezza" o un "componente di produttività" per Outlook, fornendo un link a una pagina web che replica fedelmente il Microsoft AppSource.
Una volta che l'utente acconsente all'installazione, l'add-in si integra nell'interfaccia di Outlook come un componente apparentemente legittimo. Richiede permessi di lettura delle email e accesso ai contatti — permessi che molti add-in legittimi richiedono, rendendo la richiesta non sospetta.
L'add-in malevolo opera in background con due meccanismi principali:
Le credenziali raccolte vengono inviate a server di comando e controllo (C2) tramite richieste HTTPS cifrate, mimetizzate nel normale traffico web. I dati esfiltrati includono non solo le credenziali, ma anche la rubrica contatti della vittima — utilizzata per propagare ulteriormente l'attacco.
Gli add-in di Outlook operano all'interno dell'ambiente sandbox di Microsoft Office. La maggior parte degli antivirus endpoint non analizza il comportamento degli add-in installati, concentrandosi su file eseguibili, macro e allegati. Un add-in malevolo che utilizza API Microsoft legittime per le sue operazioni risulta praticamente invisibile ai controlli tradizionali.
A differenza di un'email di phishing che richiede un'azione una tantum, l'add-in malevolo rimane attivo nel client di posta per settimane o mesi. Ogni volta che l'utente apre Outlook, il componente è operativo e può catturare nuove credenziali, monitorare le comunicazioni e raccogliere dati.
Con accesso alla rubrica e alle credenziali della vittima, gli attaccanti possono inviare email di phishing dai account compromessi legittimi, bypassando i controlli DMARC e SPF. Quando il collega riceve un'email dall'account reale di un altro dipendente con un invito a installare lo stesso add-in, la probabilità di successo dell'attacco aumenta esponenzialmente.
L'add-in non causa rallentamenti evidenti, non modifica l'interfaccia in modo visibile e non genera errori. L'utente continua a utilizzare Outlook normalmente, ignaro che ogni sua credenziale viene intercettata e inviata agli attaccanti.
| Metrica | Valore |
|---|---|
| Credenziali compromesse confermate | 4.000+ |
| Organizzazioni colpite | 200+ |
| Settori più colpiti | Finanza, Manifatturiero, Servizi Professionali |
| Tempo medio di rilevamento | 23 giorni |
| Tasso di successo dello spear phishing iniziale | ~12% |
| Tasso di propagazione laterale | ~34% |
Il dato più preoccupante è il tempo medio di rilevamento di 23 giorni: quasi un mese durante il quale l'attaccante ha accesso completo alle comunicazioni email della vittima, con la possibilità di intercettare informazioni sensibili, fatture, contratti e dati personali.
La difesa più efficace è impedire che l'email di spear phishing iniziale raggiunga la casella dell'utente. Una soluzione di email security avanzata come MailSniper analizza ogni messaggio in ingresso con:
Microsoft 365 offre strumenti di gestione degli add-in che molte organizzazioni non utilizzano:
Se sospetti che un add-in malevolo sia stato installato nella tua organizzazione:
Questo attacco dimostra che la sicurezza email nel 2026 va ben oltre il semplice filtro antispam. I vettori di attacco si evolvono continuamente e gli attaccanti trovano nuovi modi per aggirare le difese tradizionali.
Le PMI italiane, spesso target privilegiati perché percepite come meno protette delle grandi aziende, devono adottare un approccio multilivello alla sicurezza email:
La protezione non deve essere necessariamente costosa o complessa. Soluzioni come MailSniper offrono protezione enterprise a partire da €1,50 al mese per casella, con setup guidato gratuito e supporto in italiano.
L'attacco tramite add-in Outlook malevoli segna un punto di svolta: gli attaccanti non si limitano più a inviare email fraudolente, ma si insediano direttamente negli strumenti che usiamo ogni giorno. La risposta non può essere solo tecnologica — richiede una combinazione di protezione avanzata, policy organizzative rigorose e una cultura della sicurezza diffusa in tutta l'azienda.
Il momento migliore per rafforzare le proprie difese è prima che l'attacco arrivi. Scopri come MailSniper può proteggere la tua organizzazione.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoMicrosoft Threat Intelligence documenta CaptiveCrunch, campagna russa che sfrutta portali Wi-Fi compromessi per distribuire malware e sottrarre credenziali Microsoft 365 dai viaggiatori d'affari.
LeggiGli attaccanti AI-equipped stanno superando le difese tradizionali. Questa analisi tecnica esplora i vettori d'attacco emergenti, i framework MITRE ATT&CK coinvolti e le raccomandazioni per SOC che devono evolvere da Reactive a Predictive.
LeggiIl gruppo APT russo Gamaredon continua a evolvere il suo arsenale. L'analisi delle campagne 2025 rivela l'adozione di nuovi RAT e l'abuso sistematico di servizi cloud legittimi per il command & control. Ecco cosa devi sapere per difenderti.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.