Squilla il telefono. Dall’altra parte una voce cortese e sicura: è il supporto IT, dice, e per “motivi di sicurezza” devi registrare una nuova passkey sul tuo account Microsoft 365. Ti guida passo passo, ti detta un indirizzo da aprire, ti chiede di confermare. Sembra tutto normale — anzi, sembra proprio quello che un reparto IT serio dovrebbe fare. È esattamente così che, in pochi secondi, l’account aziendale finisce nelle mani di un criminale.
La società di sicurezza Okta ha diffuso l’analisi di una campagna di phishing vocale (il cosiddetto vishing) attiva da aprile 2026 contro utenti Microsoft 365. Il bersaglio non è una password rubata di nascosto: è la fiducia nella telefonata e, paradossalmente, proprio le difese moderne come passkey e autenticazione a più fattori, girate contro chi le usa.
Perché passkey e MFA non ti proteggono, qui
La passkey e l’MFA (l’autenticazione a più fattori) servono a evitare che qualcuno entri con la sola password. Ma non possono nulla se sei tu stesso a completare i passaggi che l’attaccante ti detta. In questa campagna il dipendente viene indirizzato verso siti di phishing costruiti per somigliare al portale Microsoft — i domini contengono spesso la parola passkey per apparire credibili — e da lì registra, senza saperlo, una passkey che l’attaccante controlla.
Dietro le quinte non c’è un modulo automatico ma una persona in linea: un pannello controllato dall’operatore che, aggiornandosi circa ogni secondo, segue la vittima in tempo reale e si adatta al metodo di verifica in uso, che sia un codice TOTP, una notifica push con number matching o un SMS. In pratica, mentre tu parli al telefono, qualcuno inoltra le tue conferme al vero login di Microsoft e si autentica al posto tuo.
1) Ti chiamano spacciandosi per l'IT e ti mandano su un sito che imita Microsoft, con 'passkey' nel dominio. 2) Un operatore in linea segue la sessione in tempo reale e si adatta al tuo metodo MFA (TOTP, push, SMS). 3) Registri una passkey che controlla lui, oppure approvi una richiesta che autentica lui: la difesa tecnica c'e', ma sei tu a consegnarla.
Un dettaglio smaschera l’inganno: alcuni di questi siti mostrano finte frasi di recupero in stile seed (dodici o più parole), presentate come se servissero all’enrollment. Nella registrazione reale di una passkey Microsoft Entra non esistono: se qualcuno te le mostra o te le chiede, è una truffa, punto.
La stessa logica, altre porte: ConsentFix e ClickFix
La telefonata è solo una delle vie. Tecniche correlate e ormai documentate — ConsentFix e ClickFix — puntano allo stesso risultato: prendere il controllo di un account Microsoft 365 aggirando l’MFA. ConsentFix, in particolare, inganna l’utente facendogli concedere un codice di autorizzazione OAuth che l’attaccante scambia poi per i token di accesso: niente password da rubare, niente secondo fattore da forzare, solo un consenso dato con leggerezza. Secondo le analisi pubblicate, un account può essere compromesso in una manciata di secondi.
Non un episodio isolato ma un'operazione strutturata, con settori colpiti che vanno da tecnologia e sanità ad automotive, costruzioni, food and beverage e aviazione. La regola vale per qualunque azienda che usi Microsoft 365, indipendentemente dalle dimensioni.
Fonte: Okta Threat Intelligence — 2026
La difesa è una regola, non un software
La buona notizia è la stessa della cattiva: se l’attacco fa leva sul comportamento, si neutralizza con il comportamento, senza spendere un euro. La regola madre da dare a tutto l’ufficio è una sola e va messa per iscritto: nessuno registra una passkey, approva una richiesta MFA o inserisce credenziali su indicazione ricevuta per telefono. Il supporto IT reale non ti chiama per farti fare queste cose al momento.
Da qui, quattro mosse pratiche. La prima: se ti chiamano dall’IT, riaggancia e richiama tu su un numero interno noto — non quello che ti hanno dato — per verificare che la richiesta sia vera. La seconda: diffida dei siti con “passkey” nel dominio e non aprire indirizzi dettati al telefono. La terza: ricorda che le frasi di recupero non fanno parte dell’enrollment Microsoft: vederle è già la prova che sei su una pagina falsa. La quarta, per chi amministra l’ambiente Microsoft 365: limita chi può registrare passkey e metodi di autenticazione, rafforza le verifiche d’identità quando è l’helpdesk a contattare le persone e, dove possibile, blocca gli accessi dalle aree geografiche in cui l’azienda non opera.
In breve
Una campagna di phishing vocale contatta i dipendenti fingendosi il supporto IT e li convince a registrare una passkey Microsoft Entra o ad approvare una richiesta MFA: dietro c’è un operatore che, in tempo reale, entra nell’account Microsoft 365 al posto loro. Passkey e MFA non bastano se sei tu a consegnarli, e tecniche come ConsentFix e ClickFix ottengono lo stesso risultato aggirando il secondo fattore. Per una PMI la difesa non è un acquisto ma una regola condivisa: non si registra una passkey né si approva un MFA su input telefonico, si richiama l’IT su un numero noto, si diffida dei domini con “passkey” e delle finte frasi di recupero, e lato amministratore si limita chi può aggiungere metodi di autenticazione. Una voce sicura e di fretta, al telefono, non è una garanzia: è il segnale per fermarsi.