---
title: Analisi Scenari di Phishing
description: Nell'articolo sono illustrati scenari di phishing passati indenni dal filtro di posta, chiedevano, con toni ordinari, di aprire un documento.
---

[Blog - T-Consulting](https://blog.t-consulting.it)

# [Analisi Scenari di Phishing](https://blog.t-consulting.it/analisi-scenari-phishing)

 Scritto da [Luca Zavalloni](https://blog.t-consulting.it/author/luca-zavalloni) | Nov 3, 2026, 10:43:24 AM

Caro Lettore e Cara Lettrice del Blog di T-Consulting, negli ultimi giorni abbiamo notato un aumento di email di phishing che hanno superato i filtri di sicurezza della posta elettronica. Chiedevano, con toni ordinari, di aprire un documento. Un solo link per email, nessun allegato.

Analizzandole in sandbox, **un ambiente isolato in cui esaminare contenuti sospetti senza rischi per l'infrastruttura aziendale**, abbiamo trovato qualcosa di più interessante di un semplice furto di password.

Le email condividevano lo stesso "trampolino" iniziale, **una pagina intermedia utilizzata per indirizzare l'utente verso il contenuto malevolo**, ma portavano a tre sistemi di furto diversi, con conseguenze potenzialmente sempre più gravi. Non tre attacchi scollegati: la stessa strategia, con tre motori intercambiabili.

Perché dovrebbe interessare a chi gestisce un'infrastruttura IT o i tenant Microsoft 365, **ovvero gli ambienti cloud aziendali in cui vengono amministrati utenti, servizi e accessi**?

- Tutte e tre le varianti sono progettate per **aggirare alcune forme di MFA (autenticazione a più fattori)**, che molte organizzazioni considerano ancora una protezione sufficiente.
- Il filtro di posta non le ha fermate, e per una ragione strutturale, non per una semplice svista.
- La terza variante può produrre un accesso che **sopravvive al cambio password**, quindi cambia anche il modo di rispondere a un incidente.

Di seguito le tre catene di attacco, stadio per stadio. Per ognuna trovate cosa vede la vittima e cosa succede davvero dietro le quinte, con estratti del codice JavaScript recuperato.

 

 

 

**Tre concetti in breve**

Il phishing classico ruba nome utente e password attraverso una pagina di accesso contraffatta. Con l'autenticazione a più fattori (MFA) attiva, quelle credenziali da sole non bastano: **serve anche una seconda verifica dell'identità, ad esempio tramite un'app di autenticazione**.

Gli attacchi moderni cercano quindi di superare questo ostacolo, **non necessariamente violando l'MFA, ma sfruttando una sessione già autenticata o inducendo l'utente ad autorizzare un accesso**.

- **AiTM (Adversary-in-the-Middle)**: l'attaccante si mette in mezzo tra la vittima e Microsoft, inoltrando in tempo reale ciò che l'utente digita. In questo modo può catturare il **cookie di sessione**, cioè l'informazione che permette al browser di mantenere l'accesso dopo l'autenticazione. Se riesce a riutilizzarlo, può entrare come se avesse superato lui stesso il secondo fattore.
- **Evilginx**: uno strumento open source utilizzato per realizzare attacchi AiTM. Funziona da *reverse proxy*, **un server intermedio che riceve e inoltra le comunicazioni tra utente e servizio**. Mostra alla vittima le pagine autentiche di Microsoft, facendole però passare attraverso un dominio controllato dall'attaccante.
- **Device code**: un flusso di login legittimo di Microsoft, pensato per dispositivi senza tastiera, come TV e stampanti. Il dispositivo mostra un codice, l'utente lo inserisce sul sito Microsoft e il dispositivo riceve un **token di accesso, una credenziale digitale che autorizza l'utilizzo di determinati servizi**. Se il "dispositivo" è controllato dall'attaccante, il token finisce a lui, **anche se l'utente ha effettuato l'accesso sul sito ufficiale Microsoft**.

I tre casi analizzati sfruttano questi meccanismi in modo differente: il primo punta al cookie di sessione, il secondo intercetta credenziali e autenticazione MFA in tempo reale, mentre il terzo sfrutta i token OAuth, **utilizzati per autorizzare l'accesso alle risorse senza condividere direttamente la password**.

**Il punto in comune: come le email superano il gateway**

Tutti e tre i casi entrano dalla stessa porta: un link apparentemente affidabile che punta a un servizio di hosting legittimo.

**Cosa vede la vittima.** Un'email credibile da un fornitore noto. Il link porta a una pagina ospitata su una piattaforma legittima: Webflow nei primi due casi, un profilo "link-in-bio" su Wonderlink nel terzo. La pagina mostra solo un pulsante, ad esempio "CLICCA QUI PER VEDERE IL DOCUMENTO".

**Cosa succede sotto.** Quando il gateway di posta, **il sistema che analizza le email in ingresso alla ricerca di contenuti pericolosi**, controlla il collegamento, trova un dominio appartenente a una piattaforma con buona reputazione.

Il contenuto malevolo arriva solo al secondo salto, dopo un clic umano. **In questo modo, il collegamento presente nell'email è diverso da quello che conduce effettivamente all'attacco, rendendo più complesso il rilevamento da parte dei filtri automatici.**

Per questo parliamo di "doppio link": il primo porta a una pagina apparentemente innocua, il secondo alla destinazione malevola.

La pagina intermedia è la parte riutilizzabile dell'attacco: cambia la piattaforma, ma la logica resta identica. **È proprio dopo questo secondo passaggio che le tre catene di attacco prendono strade differenti.**

 

 

Compila il form qui sotto per scaricare il Case Study completo sull'argomento:

 

 

[Visualizza articolo completo](https://blog.t-consulting.it/analisi-scenari-phishing)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Luca Zavalloni"
  },
  "dateModified" : "2026-11-03T10:47:39.738Z",
  "datePublished" : "2026-11-03T10:43:24Z",
  "headline" : "Analisi Scenari di Phishing",
  "image" : {
    "@type" : "ImageObject",
    "height" : 500,
    "url" : "https://4964794.fs1.hubspotusercontent-na1.net/hubfs/4964794/NinjaOne%20%288%29.png",
    "width" : 1300
  },
  "mainEntityOfPage" : "https://blog.t-consulting.it/analisi-scenari-phishing",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "Blog"
  }
}
```