Per anni la formazione sulla sicurezza in azienda si è retta su una frase sola: non cliccare sui link sospetti. Funzionava perché descriveva bene il nemico. L’attacco arrivava per email, l’email aveva qualcosa che non tornava, e chi imparava a riconoscerlo si salvava.
La campagna documentata il 24 luglio dai ricercatori di ReliaQuest smonta quella frase. Qui non arriva nessuna email. Non c’è nessun link da riconoscere. C’è solo il Wi-Fi dell’albergo dove hai dormito.
Cosa succede davvero
Gli attaccanti prendono il controllo del gateway Wi-Fi — l’apparato che gestisce la rete ospiti di hotel, centri congressi e sale riunioni — e ne cambiano le impostazioni DNS. Il DNS è l’elenco telefonico di internet: è quello che traduce “il sito di Microsoft” nell’indirizzo del server a cui il tuo computer si collega davvero.
Cambiato quello, il gioco è fatto. Tu digiti l’indirizzo giusto, il computer si collega al server sbagliato. La pagina di accesso a Microsoft 365 che ti compare davanti è una copia, ospitata su domini costruiti apposta per non insospettire nessuno: nei casi analizzati i ricercatori hanno individuato indirizzi come m365-owa, owa-ms365, ms365-device e ms365-live.
Secondo la ricostruzione, in circa un terzo dei casi gli attaccanti hanno provato anche una seconda strada, il Web Proxy Auto-Discovery: un meccanismo con cui Windows cerca da solo un file di configurazione del proxy sulla rete locale. Se glielo servi tu, tutto il traffico passa da te.
Tutti costruiti per assomigliare a un indirizzo Microsoft legittimo. Nessuno di questi contiene errori di ortografia o caratteri strani: il vecchio metodo di controllo a occhio non basta.
Fonte: ReliaQuest, 24 luglio 2026
Il punto che fa male: il secondo fattore non ti protegge
Qui arriva la parte che vale la lettura, e che quasi nessuno ha spiegato in italiano.
Molte piccole imprese hanno attivato l’autenticazione a due fattori negli ultimi anni e la considerano, giustamente, la difesa più importante che hanno messo in piedi. Il ragionamento è: anche se mi rubano la password, senza il codice sul telefono non entrano.
Questa campagna aggira il problema invece di risolverlo. Gli attaccanti sfruttano il flusso Device Code, una funzione legittima di Microsoft pensata per far accedere dispositivi scomodi da usare — una smart TV, un totem, un apparato senza tastiera. Funziona così: il dispositivo mostra un codice, tu lo digiti su un altro schermo, e da quel momento il dispositivo è autorizzato.
L’attaccante avvia lui la richiesta di accesso e ti fa comparire il codice sulla pagina falsa. Tu lo approvi, in buona fede, credendo di completare un normale login. Microsoft, dal canto suo, non ha nulla da obiettare: la richiesta è formalmente corretta, l’utente ha approvato. Emette quindi un token di sessione valido — e lo emette al client dell’attaccante.
Il risultato è che a quel punto l’accesso alla casella e ai file aziendali è autorizzato, con tutti i timbri in regola. Non c’è nessuna password rubata da cambiare, perché nessuno ha mai rubato la password.
Perché riguarda anche te, che non sei un bersaglio
Serve dire subito una cosa, altrimenti la notizia si legge in modo sbagliato: i casi documentati non sono italiani. I gateway compromessi individuati dai ricercatori si trovano in diverse città statunitensi, in India e in Arabia Saudita. Nessuno sta dicendo che l’hotel dove hai dormito la settimana scorsa a Rimini sia stato bucato.
Ma il punto della vulnerabilità non è geografico. La porta d’ingresso, secondo la ricostruzione dei ricercatori, sono interfacce di gestione esposte su internet sui gateway del Wi-Fi ospiti — accessi di amministrazione via web, SSH, SNMP — protetti da credenziali deboli o riutilizzate. Cioè esattamente la configurazione con cui viene installata la maggior parte degli apparati di rete negli alberghi di mezzo mondo, Italia inclusa, spesso da un fornitore esterno e poi mai più toccata.
E le vittime, per settore, sono la fotografia di chi viaggia per lavoro: servizi finanziari, servizi professionali, studi legali, sanità, energia, retail. Non enti governativi, non industria della difesa. Aziende normali, con dipendenti che aprono il portatile in hotel.
Non è un attacco al tuo computer e non è un attacco alla tua azienda: è un attacco alla rete a cui ti colleghi. Chiunque passi da lì, quel giorno, è un bersaglio equivalente.
Le tre cose da fare, in ordine di fatica
1. La regola dei dati del telefono al posto del Wi-Fi gratuito. È la contromisura più efficace e costa zero: in trasferta, per lavorare su posta e file aziendali, usa l’hotspot del tuo smartphone invece della rete dell’hotel. Il traffico passa dalla rete mobile dell’operatore, non da un apparato che non hai idea di chi gestisca. Se il timore è il consumo di giga, va detto che scrivere email e aprire documenti consuma una frazione di quello che consuma un’ora di video.
2. La VPN, ma sempre accesa. Se l’azienda ha già una VPN, la raccomandazione dei ricercatori è di usarla in modalità full-tunnel e attiva in modo permanente, non da accendere quando ci si ricorda. Una VPN che l’utente decide caso per caso quando attivare, in pratica, non è una difesa: è un promemoria che prima o poi salti.
3. Le due impostazioni da girare a chi gestisce il tenant. Se hai un consulente informatico o un fornitore che vi segue su Microsoft 365, questa è la mail da mandargli lunedì. Due richieste secche:
- disattivare il flusso di autenticazione Device Code in Microsoft Entra ID, se in azienda nessuno usa dispositivi che ne hanno davvero bisogno (nella quasi totalità delle piccole imprese non li usa nessuno);
- disattivare WPAD sui portatili aziendali e attivare il DNS cifrato in modalità restrittiva.
Cosa non fare
Non serve, e non ha senso, vietare le trasferte o proibire il Wi-Fi degli hotel per tutto. Non è la lezione da portare a casa.
La lezione è più scomoda e più utile: la formazione anti-phishing che avete fatto — quella su come si riconosce un mittente falso, un allegato strano, un dominio scritto male — su questo attacco non produce alcun effetto. Non perché sia stata fatta male, ma perché descrive un nemico diverso. Vale la pena aggiungerci una riga sola, quella del codice che non hai chiesto, e cambiare un’abitudine, quella dell’hotspot al posto della rete gratuita.
Due minuti di conversazione al prossimo caffè con chi viaggia per l’azienda. È tutto quello che serve.