Truffa dell'IBAN, ora la fa l'AI: il codice che apre la posta aziendale anche con l'MFA attivo

C’è una truffa che ogni imprenditore ha già sentito raccontare, di solito da un collega: arriva una mail dal fornitore di sempre, stessa firma, stesso tono, che avvisa di un cambio di coordinate bancarie. Il bonifico parte, i soldi arrivano a qualcun altro, e recuperarli è quasi impossibile.

Il 31 luglio l’Agenzia per la Cybersicurezza Nazionale ha pubblicato un bollettino che dice come quella truffa sia diventata un prodotto industriale. Due kit venduti come servizio — l’ACN li chiama TokenLover e YaksaLover — entrano nelle caselle Microsoft 365 e, una volta dentro, lasciano che sia un modello linguistico a leggere la posta e a decidere quale pagamento intercettare.

La parte che conta: l’MFA non ti sta proteggendo

Qui va detta una cosa con precisione, perché è facile capirla al contrario.

Il vettore d’ingresso è il Device Code Flow, il meccanismo che serve per far accedere dispositivi scomodi da usare con una tastiera — una smart TV, un totem, un apparato di sala riunioni. Funziona così: il dispositivo mostra un codice, tu lo digiti su una pagina Microsoft, e l’accesso viene autorizzato.

L’attaccante genera quel codice sul proprio dispositivo e lo fa arrivare a te con una scusa credibile, di solito legata a un documento condiviso. Tu apri la pagina Microsoft vera — non un clone, non un dominio strano: quella autentica — inserisci il codice e completi l’autenticazione come faresti normalmente, seconda verifica compresa.

E qui sta il punto. Come scrive l’ACN, «la presenza dell’autenticazione a più fattori non impedisce l’attacco qualora sia la stessa vittima ad autorizzare la sessione».

Perché la seconda verifica non scatta come difesa

Nel phishing classico la vittima consegna la password su una pagina falsa, e la seconda verifica blocca l'accesso perché l'attaccante non ce l'ha. Nel phishing da codice dispositivo il percorso è rovesciato: la password non viene mai rubata, la pagina è quella autentica di Microsoft, e la seconda verifica viene superata dalla vittima stessa nel momento in cui autorizza la sessione. Al termine l'attaccante non possiede le credenziali, possiede una sessione già autorizzata.

Perché cambiare la password può non bastare

La seconda cattiva notizia riguarda il dopo. I kit descritti da ACN registrano nell’account chiavi riconducibili a Windows Hello for Business — quelle che il documento chiama chiavi NGC. Tradotto: l’intruso si lascia dietro un modo per rientrare che non passa più dalla password.

L’ACN lo scrive senza giri di parole: «il solo cambio della password potrebbe non essere sufficiente a interrompere l’accesso abusivo». Nelle dashboard di questi strumenti esiste addirittura una metrica dedicata, la password change survival rate, che misura quanti accessi sopravvivono al reset delle credenziali.

Se il tuo piano di emergenza in caso di sospetta compromissione è «cambio la password e amen», questo è il pezzo di notizia che ti riguarda di più.

E poi entra in scena l’AI

La parte che rende la storia diversa dal solito bollettino è cosa succede una volta dentro la casella.

Storicamente il collo di bottiglia della frode sui pagamenti era il lavoro manuale: il truffatore doveva leggersi mesi di corrispondenza per capire chi paga chi, quando, e con quale tono si scrivono. Su una piccola impresa spesso non valeva l’investimento di tempo.

TokenLover, secondo ACN, integra «una pipeline per l’analisi automatizzata delle caselle di posta elettronica, basata su modelli linguistici». Il sistema estrae da solo:

• le fatture in sospeso e i relativi importi;
• i fornitori e clienti ricorrenti;
• le coordinate bancarie già scambiate via mail;
• le scadenze dei pagamenti;
• e — dettaglio che dice tutto — quali persone in azienda approvano le transazioni.

Con quel quadro in mano l’obiettivo diventa, testualmente, «intercettare una transazione reale e sostituire le coordinate bancarie del beneficiario». Non una fattura inventata, che può insospettire: la tua fattura vera, quella che stavi per pagare comunque, con l’IBAN cambiato.

Cosa cambia quando la selezione del bersaglio è automatica.

Cosa fare lunedì

Le contromisure sono due, e vivono su piani diversi. La prima non richiede nessun fornitore.

La regola sugli IBAN, a costo zero. Nessuna variazione di coordinate bancarie viene accettata via mail. Mai. Se un fornitore comunica un cambio di IBAN, si verifica con una telefonata al numero che hai già in rubrica — non a quello scritto nella mail che annuncia il cambio. È la stessa raccomandazione che fa l’ACN quando parla di «procedure di verifica fuori banda»: fuori banda significa proprio questo, su un canale diverso da quello in cui è arrivata la richiesta. Vale anche al contrario: comunica ai tuoi clienti che le tue coordinate non cambiano mai per email, così se ricevono quel messaggio sanno già che è falso.

La richiesta da girare a chi ti gestisce i sistemi. Se hai un consulente IT o un fornitore che amministra il tenant Microsoft 365, mandagli il link del bollettino ACN e chiedi tre cose precise:

1. disabilitare il Device Code Flow se in azienda nessun dispositivo lo usa davvero — nella maggior parte delle piccole realtà non serve a niente;
2. se non è disattivabile, limitarlo con criteri di Accesso Condizionale;
3. monitorare le registrazioni di nuove chiavi Windows Hello for Business, che sono il segnale della porta lasciata aperta.

Il quadro più ampio

Non è un fenomeno isolato né una sorpresa dell’ultima settimana. La stessa tecnica sul codice dispositivo era già stata documentata a livello internazionale: The Hacker News ha descritto a inizio luglio la piattaforma DEBULL, che abusa dello stesso meccanismo contro account Microsoft 365 con esche a tema collaborazione, e sia Proofpoint sia Infosecurity Magazine avevano segnalato l’ondata di campagne già a fine 2025.

Una precisazione di metodo, per onestà: i nomi TokenLover e YaksaLover compaiono nel bollettino ACN, mentre le coperture estere documentano la medesima tecnica sotto altre denominazioni. Il punto rilevante per un’impresa non è come si chiama il kit — è che il meccanismo funziona, è in vendita, e ha smesso di richiedere competenze tecniche a chi lo compra.

In breve

Il bollettino ACN del 31 luglio 2026 documenta kit di phishing che prendono il controllo di account Microsoft 365 facendo digitare alla vittima un codice dispositivo su una pagina Microsoft autentica: l’autenticazione a più fattori non blocca l’attacco perché è la vittima stessa ad autorizzare la sessione, e le chiavi lasciate nell’account possono sopravvivere al cambio password.

Dentro la casella, un modello linguistico individua fatture, scadenze e coordinate bancarie per sostituire l’IBAN su un pagamento reale. Le due mosse concrete: nessuna variazione di IBAN accettata via mail senza una telefonata di verifica al numero che hai già in rubrica, e la richiesta al fornitore IT di disattivare o limitare il Device Code Flow sul tenant aziendale.