Il secondo trimestre 2026 conferma una tendenza già avviata: il phishing "classico" via email perde colpi, ma gli attaccanti non si fermano. Si spostano dove le difese sono più basse e l'interazione umana è più naturale: Microsoft Teams. È la sintesi operativa che emerge dal report Email threat landscape: Q2 2026 trends and insights pubblicato sul Microsoft Security Blog.
Cosa è cambiato nel Q2 2026
L'evento chiave del trimestre è stata la disruption della piattaforma Tycoon2FA, uno dei principali servizi Phishing-as-a-Service (PhaaS) usati per rubare credenziali e token di sessione aggirando l'autenticazione a più fattori (MFA). L'azione di Microsoft ha prodotto un calo sostenuto delle principali tecniche di phishing che facevano leva su quel kit.
Tuttavia, i threat actor hanno reagito adattando le tattiche su due fronti:
- Social engineering su Microsoft Teams: sfruttano la fiducia implicita nelle chat interne, l'assenza di controlli anti-phishing nativi equivalenti a quelli della posta e la difficoltà per l'utente di verificare l'identità dell'interlocutore.
- Catene di attacco automatizzate e multi-stadio: non più singoli link malevoli, ma sequenze orchestrate che combinano raccolta credenziali, movimento laterale, persistenza ed esfiltrazione, spesso gestite da framework automatizzati che riducono i tempi di esecuzione e l'errore umano lato attaccante.
Perché riguarda da vicino le PMI e gli MSP
Le piccole e medie imprese sono bersaglio preferenziale per tre motivi:
- Spesso non hanno team security dedicati né SOC 24/7.
- L'adozione di Teams è pervasiva, ma la configurazione di sicurezza (policy di messaggistica esterna, safe links, controlli allegati) è frequentemente lasciata ai default.
- Gli MSP che gestiscono tenant multipli possono diventare vettori di supply chain se un singolo account admin compromesso apre le porte a tutti i clienti.
L'automazione degli attacchi abbassa la soglia di competenza necessaria: anche gruppi meno sofisticati possono lanciare campagne complesse a basso costo.
Azioni prioritarie per rafforzare la postura
1. Estendere i controlli anti-phishing a Teams
- Attivare Safe Links e Safe Attachments per Teams (richiede licenze Microsoft Defender for Office 365 Plan 2 o equivalenti).
- Configurare policy di messaggistica esterna restrittive: bloccare o mettere in quarantena inviti e messaggi da domini non fidati.
- Abilitare la verifica dell'identità mittente (es. badge "Esterno" ben visibile) e formare gli utenti a trattare ogni richiesta insolita su Teams come potenziale attacco.
2. Rafforzare l'identità e l'accesso
- Imporre MFA resistente al phishing (FIDO2, Windows Hello for Business, certificati) per tutti gli account, specialmente admin e VIP.
- Adottare Conditional Access con segnali di rischio (Identity Protection): bloccare accessi da dispositivi non gestiti, località anomale, sessioni a rischio elevato.
- Rivedere regolarmente ruoli admin e deleghe negli MSP: principio del minimo privilegio, account break-glass protetti, monitoraggio modifiche ruoli.
3. Visibilità e risposta rapida
- Ingerire i log di Teams, Entra ID e Defender in un SIEM/XDR (Microsoft Sentinel, Defender XDR o soluzioni MSP) per correlare alert cross-canale.
- Creare playbook di risposta specifici per compromissione account via Teams: revoca token, reset password, analisi regole inbox/forwarding, notifica contatti interni.
- Automatizzare il threat hunting su indicatori di compromissione (IOC) legati a kit PhaaS noti e infrastrutture di comando e controllo (C2) emergenti.
4. Formazione continua e simulazioni cross-canale
- Includere scenari Teams nelle campagne di simulazione phishing (vishing, smishing, Teams-phishing).
- Insegnare la regola "verifica su canale secondario": se un collega chiede credenziali, pagamenti o approvazioni urgenti su Teams, chiamarlo o usare un canale ufficiale.
- Aggiornare il security awareness trimestralmente con i trend reali (es. Tycoon2FA, nuovi kit PhaaS, tecniche adversary-in-the-middle).
Il ruolo dell'MSP: da fornitore a partner di resilienza
Per gli MSP, questo report è un'opportunità per evolvere l'offerta:
- Assessment configurazione Teams/Entra ID come servizio ricorrente (quarterly business review).
- Managed detection and response (MDR) su identità e collaborazione, non solo endpoint.
- Tabletop exercise con i clienti: simulare un account admin MSP compromesso e misurare il raggio d'azione (blast radius).
- Documentare e condividere KPI di sicurezza (tempo medio rilevazione, tempo medio risposta, % utenti MFA phishing-resistant) per dimostrare valore tangibile.
In sintesi: la disruption di Tycoon2FA dimostra che colpire l'infrastruttura criminale funziona, ma l'avversario si adatta velocemente. Lo spostamento su Teams e l'automazione delle catene di attacco richiedono difese che vanno oltre il gateway email: identità forte, visibilità cross-app, processi di risposta testati e cultura della verifica. Per PMI e MSP, è il momento di trattare la collaborazione (Teams, Slack, ecc.) con la stessa rigore della posta elettronica.
Fonte: Microsoft Security Blog, "Email threat landscape: Q2 2026 trends and insights", 23 luglio 2026.
