Microsoft sostiene il DMARC come protezione contro l'aumento del phishing Tycoon 2FA

Malintenzionati stanno sfruttando server email mal configurati per inviare email di phishing molto convincenti che sembrano provenire dall'interno delle organizzazioni. Questi attacchi utilizzano kit sofisticati come Tycoon 2FA per aggirare implementazioni deboli di SPF, DKIM e DMARC, prendendo di mira in particolare i clienti Office 365 con configurazioni di instradamento complesse. Microsoft avverte che i clienti con instradamento non standard, in particolare quelli che non puntano i record MX direttamente a Microsoft, sono a maggior rischio. Red Sift OnDMARC fornisce l'autenticazione e il monitoraggio completi delle email necessari per colmare queste lacune, garantendo che la tua organizzazione raggiunga la policy DMARC reject e impedendo agli aggressori di falsificare i tuoi domini per colpire dipendenti, clienti e fornitori.

Microsoft ha lanciato un avviso riguardo un'impennata di campagne di phishing sofisticate che sfruttano configurazioni deboli di autenticazione delle email. Gli aggressori stanno approfittando di server mal configurati per inviare email che sembrano provenire dall'interno dell'organizzazione bersaglio, aggirando i controlli di sicurezza standard e inducendo i dipendenti a rivelare le credenziali.

Gli attacchi non sono nuovi, ma sono diventati significativamente più diffusi nella seconda metà del 2025. Secondo Microsoft, i criminali stanno abusando del modo in cui alcune organizzazioni instradano le email e di come implementano i protocolli di autenticazione. Quando le email passano attraverso servizi di terze parti o server on-premise, i controlli SPF, DKIM e DMARC sono a volte deboli o non rigorosamente applicati.

Gli aggressori sfruttano queste lacune inviando email dall'esterno dell'azienda ma utilizzando il dominio stesso dell'azienda come indirizzo del mittente. Poiché il sistema non rifiuta completamente i controlli falliti, l'email viene accettata e contrassegnata come interna. Il messaggio risultante appare legittimo e rende i dipendenti molto più propensi a fidarsi e a fornire le credenziali.

Microsoft sottolinea che i clienti Office 365 con configurazioni di instradamento non standard e complesse affrontano il rischio più elevato. Le organizzazioni che non puntano i propri record MX direttamente a Microsoft sono invitate a rivedere e affrontare immediatamente la propria configurazione di autenticazione delle email.

Il problema si concentra sui protocolli di autenticazione che verificano i mittenti delle email. SPF verifica quali server possono inviare email per un dominio, DKIM aggiunge una firma digitale ai messaggi e DMARC indica ai server riceventi cosa fare quando i controlli falliscono.

Questi protocolli funzionano bene quando le email fluiscono direttamente tra provider. Ma in configurazioni complesse che coinvolgono servizi di filtraggio di terze parti, infrastrutture on-premise o instradamenti insoliti, l'autenticazione può fallire. Le email potrebbero superare alcuni controlli ma fallirne altri, e se le policy non sono impostate su reject, i messaggi passano comunque.

Gli aggressori hanno imparato a identificare le organizzazioni con configurazioni deboli. Creano campagne di phishing utilizzando toolkit noti come Tycoon 2FA, elaborando esche convincenti a tema segreterie telefoniche, documenti condivisi, comunicazioni HR o reset delle password. Le email appaiono identiche a messaggi interni legittimi, complete di indirizzi mittente e nomi visualizzati familiari.

Non si tratta di spear phishing mirato. Sono attacchi ampi e opportunistici volti a raccogliere quante più credenziali possibili. In alcuni casi, le password rubate abilitano attacchi secondari di Business Email Compromise, in cui i criminali utilizzano account legittimi per richiedere bonifici o dati sensibili.

Il tuo dominio è un segnale di fiducia. Quando i dipendenti ricevono un'email da un collega, si aspettano che sia autentica. Quando i clienti ricevono un'email dalla tua azienda, si fidano che rappresenti la tua organizzazione.

Gli aggressori comprendono questa psicologia. Falsificando il tuo dominio e facendo apparire le email come interne, sfruttano la fiducia che il tuo brand ha costruito con dipendenti e partner esterni. Gli attacchi hanno successo perché i fallimenti dell'autenticazione non vengono bloccati in modo coerente.

Le organizzazioni con instradamento complesso spesso implementano l'autenticazione come livello secondario piuttosto che come controllo di sicurezza fondamentale. Le email potrebbero essere scansionate per il malware, filtrate per lo spam, ma se i controlli di autenticazione falliscono senza attivare il rifiuto, la porta rimane aperta per lo spoofing.

Red Sift OnDMARC affronta questo problema fornendo una visibilità completa sulla tua postura di autenticazione delle email. La piattaforma monitora tutte le fonti di email che affermano di inviare per tuo conto, identifica le configurazioni errate in tempo reale e ti guida nell'implementazione delle policy corrette in tutta la tua infrastruttura email.

Raggiungere la policy DMARC reject è il modo più efficace in assoluto per prevenire lo spoofing del dominio. Una policy reject indica ai server riceventi di bloccare completamente le email che falliscono i controlli di autenticazione. Nessuna zona grigia, nessun forse, nessuna possibilità di passare inosservate.

Ma raggiungere il reject in sicurezza richiede visibilità e test. Devi conoscere ogni fonte legittima che invia email per il tuo dominio. Devi verificare che i tuoi record SPF, DKIM e DMARC siano configurati correttamente in tutti i servizi. Devi monitorare i fallimenti che indicano problemi con il flusso email legittimo o segnali di tentativi di spoofing.

Red Sift OnDMARC fornisce questa visibilità attraverso una reportistica e un'analisi DMARC complete. La piattaforma aggrega i report dai server riceventi di tutto il mondo, mostrando esattamente quali fonti stanno inviando email utilizzando il tuo dominio e se stanno superando o fallendo i controlli di autenticazione.

Questa intelligence ti permette di identificare i servizi mal configurati prima che causino problemi di consegna delle email. Rivela fonti non autorizzate che tentano di falsificare il tuo dominio. Ti guida nel processo di passaggio dal monitoraggio alla quarantena fino alla policy reject senza interrompere le comunicazioni aziendali legittime.

Per i clienti Office 365 con instradamento complesso, OnDMARC si integra direttamente con la tua infrastruttura per garantire che l'autenticazione funzioni correttamente negli ambienti ibridi. La piattaforma identifica le lacune nella tua configurazione e fornisce passaggi specifici di correzione per la tua configurazione.

Comprendere lo stato attuale della tua autenticazione è il primo passo verso la protezione. Red Sift fornisce strumenti gratuiti per aiutare le organizzazioni a valutare la propria esposizione:

Red Sift Investigate ti permette di verificare se il tuo flusso email è conforme agli standard di autenticazione. Invia un'email di test e ricevi un'analisi dettagliata di come i tuoi messaggi vengono autenticati e di cosa vedono i server riceventi quando valutano il tuo dominio.

Radar Lite verifica la postura di sicurezza complessiva del tuo dominio, identificando debolezze nella configurazione DNS, nella gestione dei certificati e nell'autenticazione delle email che gli aggressori potrebbero sfruttare.

Questi strumenti forniscono un'immediata comprensione delle vulnerabilità che campagne sofisticate come Tycoon 2FA prendono di mira. Se la tua organizzazione non ha ancora raggiunto la policy DMARC reject o se non sei sicuro che la tua autenticazione sia configurata correttamente, ora è il momento di indagare.

L'avvertimento di Microsoft su Tycoon 2FA e campagne simili dimostra quanto rapidamente gli aggressori si adattino per sfruttare un'autenticazione debole. I clienti Office 365 con configurazioni di instradamento complesse affrontano un rischio particolare, ma qualsiasi organizzazione priva di una corretta implementazione DMARC rimane vulnerabile.

Raggiungere la policy reject protegge la tua organizzazione dagli attacchi di phishing che impersonano i tuoi domini. Protegge i tuoi clienti e fornitori dal ricevere email fraudolente che sembrano provenire da te. Previene il furto di credenziali che abilita attacchi secondari come il Business Email Compromise.

Red Sift OnDMARC fornisce la visibilità, la guida e il monitoraggio necessari per implementare correttamente l'autenticazione in tutta la tua infrastruttura email e mantenere la protezione mentre il tuo ambiente evolve.

Se la tua organizzazione non ha ancora raggiunto la policy DMARC reject o se stai gestendo un instradamento email complesso che potrebbe presentare lacune di autenticazione, il momento di affrontare questo problema è adesso.