Foto di ODISSEI.

Un indirizzo e-mail ufficiale di Microsoft, normalmente utilizzato per l'invio di codici 2FA e avvisi di sicurezza, è da mesi sfruttato per recapitare spam credibile agli utenti. Il mittente esiste davvero, msonlineservicesteam@microsoftonline.com, e i messaggi superano i filtri antispam perché inviati direttamente dall'infrastruttura Microsoft, ma l'intento è malevolo.

Come spiega The Spamhaus Project, l'attacco sfrutta una falla logica nei sistemi di registrazione dei nuovi account Microsoft. I truffatori creano normali profili come se fossero nuovi utenti commerciali e riescono a manipolare i campi del nome account o dell'organizzazione dei sistemi di notifica, cosa che in teoria non dovrebbe essere possibile. Queste informazioni vengono poi incorporate automaticamente nell'oggetto delle e-mail generate dalla piattaforma, trasformando notifiche legittime in vettori di spam. Le e-mail fraudolente imitano messaggi apparentemente autentici: alcune simulano transazioni sospette, altre segnalano comunicazioni private in attesa. L'aspetto critico è che il mittente coincide con quello usato da Microsoft per le comunicazioni più sensibili, come i codici di autenticazione a due fattori. Per un utente comune, distinguere un messaggio genuino da uno manipolato diventa estremamente difficile.

Zack Whittaker, responsabile della sezione Security di TechCrunch, ha riferito di aver ricevuto personalmente più e-mail di questo tipo, caratterizzate da oggetti fuorvianti e link a siti fraudolenti. Ha spiegato che i messaggi erano «grezzi ma strutturati in modo simile» ai messaggi reali di Microsoft, con collegamenti a pagine sospette e contenuti che imitavano avvisi ufficiali. The Spamhaus Project ha confermato che l'abuso è in corso da diversi mesi: ha documentato casi in cui l'oggetto delle e-mail conteneva riferimenti a falsi ordini PayPal in bitcoin, corredati da numeri telefonici da contattare. Ha inoltre criticato Microsoft per aver consentito un livello di personalizzazione eccessivo nei sistemi di notifica automatica, affermando che «i sistemi di notifica automatica non dovrebbero permettere questo livello di personalizzazione».

Il problema è aggravato dal fatto che i messaggi provengono da un dominio legittimo e verificato. I filtri antispam, basati sulla reputazione del mittente, non possono bloccarli senza rischiare di impedire la consegna di comunicazioni autentiche. Ciò consente ai truffatori di aggirare barriere di sicurezza normalmente efficaci contro campagne di phishing tradizionali. La dinamica dell'abuso rientra peraltro in una tendenza più ampia di sfruttamento di piattaforme cloud affidabili per veicolare truffe. In altri casi recenti, hacker hanno compromesso sistemi di notifica di aziende tecnologiche o provider di servizi digitali per inviare messaggi fraudolenti attraverso canali ufficiali. L'obiettivo è sempre lo stesso: sfruttare la fiducia dell'utente verso un mittente riconosciuto.

Proposte di lettura:

Burger King Italia, sospetto furto di dati: allerta su phishing e carte fedelt&...

Phishing, svolta UE: le banche dovranno rimborsare subito le vittime

Chiamate mute in aumento: così i truffatori filtrano i numeri e preparano a...

La truffa del falso BSOD che convince gli utenti a installare un malware

Microsoft è stata informata del problema e ha confermato di aver ricevuto la richiesta di commento, ma non ha rilasciato dichiarazioni né chiarito se siano state adottate contromisure. Al momento, non risultano comunicazioni ufficiali che confermino la risoluzione della vulnerabilità. La persistenza dell'abuso sembra indicare però che la falla non è stata ancora chiusa. Gli autori dell'attacco continuano a sfruttare la possibilità di registrare nuovi account e manipolare i campi testuali che finiscono nelle notifiche automatiche. Finché il sistema non verrà modificato per impedire questa forma di personalizzazione, l'indirizzo resterà un vettore potenziale per campagne di spam e phishing.

Il consiglio quindi è di non fidarsi ciecamente dei messaggi ricevuti, anche se provenienti da indirizzi ufficiali, soprattutto quando contengono link o richieste di azione immediata. Anche le comunicazioni più familiari possono essere state manipolate, e l'unico modo per verificarne l'autenticità è controllare con attenzione il contenuto e ignorare collegamenti sospetti.

Leggi anche:

La truffa della falsa scadenza della tessera sanitaria dilaga in Italia

PayPal, email autentiche usate dagli scammer per ingannare gli utenti con falsi ...

La truffa del pedaggio fantasma: falsi SMS di Autostrade rubano dati e carte di ...

Nutella gratis? No, è una truffa. Il raggiro su Facebook colpisce migliaia ...