Gli attaccanti stanno abusando di Microsoft 365: come restare protetti

Sintesi esecutiva: Varonis ha individuato una campagna di phishing attiva che impersona utenti interni sfruttando la funzionalità Direct Send di Microsoft 365. Poiché Direct Send non richiede autenticazione ed è trattata come “interna”, questi messaggi spesso eludono i controlli su cui si fa affidamento per la posta esterna. Microsoft offre ora un’opzione facoltativa, RejectDirectSend, per bloccare questo canale, ma attivarla senza preparazione può interrompere il funzionamento di stampanti, scanner e applicazioni aziendali che dipendono ancora da Direct Send.

Punti chiave

• Direct Send consente a qualsiasi host all’interno di Microsoft 365 di inviare email ai tuoi utenti senza autenticarsi. Gli attori delle minacce lo stanno usando per impersonare colleghi ed eludere i controlli sulla posta esterna.
• La campagna, attiva da maggio 2025, ha già colpito oltre 70 organizzazioni in diversi settori.
• Il nuovo interruttore RejectDirectSend di Microsoft blocca questo vettore, ma potrebbe compromettere il funzionamento di dispositivi che dipendono ancora da Direct Send. Testare prima di applicarlo.

Direct Send esiste affinché dispositivi e applicazioni possano inviare email agli utenti all’interno del tenant Microsoft 365 senza autenticarsi. Si pensi a stampanti multifunzione che effettuano scansioni via email, strumenti di monitoraggio che generano avvisi, o applicazioni legacy mai aggiornate per utilizzare SMTP Auth.

Gli attaccanti hanno capito che possono utilizzare lo stesso percorso non autenticato per inserire messaggi di phishing direttamente nelle caselle di posta, impersonando colleghi reali. Poiché il traffico rimane all’interno dell’infrastruttura Microsoft, molti controlli rivolti all’esterno, come banner, quarantene e persino alcuni controlli Domain-based Message Authentication, Reporting, and Conformance (DMARC), non entrano mai in gioco. Questa tecnica è stata utilizzata contro oltre 70 organizzazioni da maggio 2025, e non ci sono segnali di rallentamento.

Prima di tutto, la fiducia interna è potente. I tuoi utenti sono abituati ad abbassare la guardia quando un’email sembra provenire da “Risorse Umane” o “IT” e utilizza un nome visualizzato e un indirizzo interni. Questo rende molto più probabili i click e il furto di credenziali.

In secondo luogo, DMARC protegge il perimetro; è eccellente nel bloccare esatte impersonificazioni di dominio provenienti da internet, ma un messaggio iniettato tramite Direct Send può apparire perfettamente allineato perché non lascia mai il cloud Microsoft. In terzo luogo, molti stack di rilevamento sono calibrati per esaminare la posta esterna. Se le regole del tuo SIEM, le policy del tuo SEG o la formazione degli utenti si concentrano su “dall’esterno verso l’interno”, il traffico apparentemente interno può passare inosservato. Infine, una rimozione impulsiva può causare danni: se blocchi semplicemente Direct Send senza un piano di migrazione, i flussi di lavoro aziendali critici potrebbero interrompersi silenziosamente.

Bloccare Direct Send senza preparazione può avere effetti collaterali molto concreti. Le stampanti multifunzione potrebbero smettere di inviare PDF scansionati alle caselle condivise. I sistemi aziendali potrebbero non riuscire più a inviare fatture o ticket di supporto senza che nessuno se ne accorga. Gli strumenti di sicurezza e monitoraggio potrebbero perdere il proprio canale di notifica via email, creando punti ciechi negli avvisi. Anche dopo la migrazione, ricorda che SMTP Auth e i connettori di relay hanno i propri limiti di velocità e dimensione; pianifica la capacità di conseguenza e controlla i log per eventuali limitazioni o errori.

Inizia individuando chi e cosa nel tuo ambiente utilizza ancora Direct Send. Esegui tracciamenti dei messaggi o ricerche nei log per il traffico che raggiunge il tuo tenant senza risultati di autenticazione, e incrocia questi dati con un semplice inventario: stampanti, scanner, strumenti di monitoraggio, sistemi ERP o di ticketing, script personalizzati. Aspettati sorprese: i vecchi flussi di lavoro tendono a persistere.

Una volta ottenuto l’elenco, migra i mittenti legittimi. L’opzione più pulita è spostare dispositivi e applicazioni verso l’invio client SMTP Auth sulla porta 587 con un account di servizio dedicato. Dove possibile, fai un ulteriore passo avanti e configura un connettore basato su certificato che accetti solo posta da IP o identità TLS conosciuti. Entrambe le opzioni offrono autenticazione, registrazione e controllo dei limiti di velocità che Direct Send non ha mai fornito.

Dopo aver verificato che questi percorsi funzionano, blocca il canale sfruttato. Il nuovo flag a livello di tenant di Microsoft fa esattamente questo:

Distribuiscilo in un gruppo pilota o durante una finestra di manutenzione, monitora eventuali NDR o cali improvvisi nella posta attesa, e tieni pronta un’opzione di rollback. Trattalo come qualsiasi altra modifica che può influire sui processi aziendali.

L’irrobustimento non dovrebbe fermarsi al livello di trasporto. Assicurati che i tuoi domini principali siano in modalità di enforcement DMARC (p=reject) e che tu monitori attivamente eventuali anomalie. Ti consigliamo di controllare gli header delle email potenzialmente sospette. Se hai bisogno di supporto per raggiungere l’enforcement DMARC, Red Sift OnDMARC elimina la complessità dell’implementazione, offrendoti tranquillità in appena 6-8 settimane. Inoltre, aggiungi rilevamenti per le esche specifiche osservate in questa campagna (ad esempio, temi legati a “nuova segreteria telefonica” o allegati con codici QR) e ricorda agli utenti che “interno” non garantisce più “sicuro”.

Non sai da dove iniziare? Verifica gratuitamente il tuo stato DMARC e la sicurezza del dominio con Red Sift Investigate.