Se la posta aziendale gira su Exchange, cambiare le password non basta: la backdoor che resta dentro la casella

Il 29 luglio la società di sicurezza Proofpoint ha pubblicato l’analisi di una campagna che va avanti dal 22 luglio contro le caselle di posta aziendali. Il meccanismo è quello che tutti temono e che quasi nessuno crede possibile davvero: la mail non va aperta come allegato, non va cliccato niente. Basta che il messaggio compaia nell’anteprima del webmail e il codice parte.

Prima di andare avanti, una cosa va detta subito, perché cambia il tono di tutto il resto: i bersagli documentati sono enti governativi statunitensi ed europei, telecomunicazioni, servizi finanziari, ospitalità e aerospazio. Non ci sono evidenze di campagne contro piccole imprese italiane, e nessuno dovrebbe chiudere il computer stanotte. Questa notizia è utile per un motivo diverso.

Il motivo per cui vale i tuoi cinque minuti

La falla si chiama CVE-2026-42897 ed è nel Outlook Web Access, cioè la posta di Exchange quando la si legge dal browser. Microsoft l’ha corretta a maggio, con un aggiornamento fuori dal ciclo ordinario, dopo l’avviso del 14 maggio 2026.

Quindi, se la notizia fosse «è uscita una falla, aggiornate», sarebbe vecchia di due mesi e non meriterebbe un articolo.

La notizia è un’altra, ed è questa: su una casella già compromessa, applicare la patch non rimuove niente. E nemmeno cambiare le password. E nemmeno rifare il computer da zero.

Perché il cambio password qui non serve

L'istinto, davanti a un accesso non autorizzato, è cambiare la password: se cambio la serratura, chi aveva la chiave resta fuori. Funziona quando l'intruso ha rubato la chiave. Non funziona quando l'intruso, mentre era dentro, ha aggiunto il proprio nome all'elenco delle persone autorizzate a entrare. È esattamente quello che fa questo attacco: assegna permessi di livello proprietario sulla casella a un utente di sistema. Quei permessi restano lì dopo il cambio password, dopo l'aggiornamento e dopo la reinstallazione del PC, perché non stanno sul PC: stanno sul server della posta.

Cosa fa, in concreto

Il codice che entra si chiama OWAReaper ed è scritto in JavaScript. Secondo la ricerca di Proofpoint:

• si nasconde nel corpo del messaggio e dentro icone di social media codificate in Base64, il che lo rende poco visibile agli automatismi di controllo;
• raccoglie le credenziali della posta dai campi di compilazione automatica del browser;
• si riscrive dentro la memoria locale del browser sotto nomi che sembrano legittimi, così da sopravvivere ai riavvii;
• assegna permessi di livello proprietario sulla casella all’utente di sistema, ottenendo un accesso che non dipende più da nessuna password;
• riceve istruzioni attraverso due canali diversi — commit su GitHub e messaggi email — che nel traffico di rete sembrano attività normalissima.

C’è un dettaglio che merita attenzione anche fuori da questo caso specifico: l’infrastruttura usata dagli attaccanti è stata creata a marzo 2026, due mesi prima della correzione di maggio. Significa che, con ogni probabilità, la falla è stata sfruttata quando ancora nessuno la conosceva.

Ti riguarda? Dipende da dove sta la posta

Qui c’è una distinzione che vale la telefonata, e che moltissimi titolari non sanno di dover fare.

Exchange sul tuo server oppure Microsoft 365

Se la posta aziendale è su un server Exchange dentro l'azienda o presso un provider — tipico di chi ha fatto installare tutto anni fa da un fornitore IT locale — l'aggiornamento è responsabilità di chi ve lo gestisce, e va verificato che sia stato fatto. Se invece siete su Microsoft 365 con caselle in cloud, l'aggiornamento del servizio lo fa Microsoft e non dovete farlo voi: resta però da controllare che nessuno abbia lasciato permessi anomali sulle caselle, perché quella parte è vostra in entrambi i casi.

Il modo più veloce per capirlo: se in azienda c’è un server a cui si dice «il server della posta», siete nel primo caso. Se vi collegate a Outlook con un account che finisce con il dominio aziendale ma non esiste nessuna macchina fisica che gestisce le mail, quasi certamente siete nel secondo.

Le tre cose da far verificare

Non sei tu a doverle fare. Sei tu a doverle chiedere, e a farti rispondere per iscritto.

1. «L’aggiornamento Microsoft di maggio per la falla di Outlook Web Access è stato applicato? In che data?» Se la posta è su un vostro server, questa è la domanda numero uno. Una risposta tipo «siamo aggiornati» senza data non è una risposta.
2. «Ci sono permessi anomali sulle nostre caselle?» In particolare: qualcuno ha concesso accesso di livello proprietario a utenti generici o di sistema. È la verifica che nessuno fa mai e che qui è la più importante, perché è ciò che resta anche dopo la patch.
3. «Ci sono regole di inoltro automatico che non abbiamo impostato noi?» È il modo più antico e più efficace di leggere la posta di un’azienda per mesi: una regola che gira copia di tutto verso un indirizzo esterno. Si controlla in due minuti e ogni tanto salta fuori davvero.

In breve

CVE-2026-42897 è una falla di Outlook Web Access che esegue codice alla semplice apertura in anteprima di un messaggio. Microsoft l’ha corretta a maggio 2026; una campagna che la sfrutta è stata resa pubblica il 29 luglio e i bersagli noti sono grandi organizzazioni, non piccole imprese.

Il punto che conta per chi fa impresa non è la falla in sé, ma la sua conseguenza: la backdoor installata si scrive nei permessi della casella lato server, quindi non viene rimossa né dal cambio password, né dall’aggiornamento, né dalla reinstallazione del computer. Se la posta aziendale è su un vostro server Exchange, oggi vale una telefonata con tre domande precise. Se siete su Microsoft 365, ne restano due — ma restano.