Le passkey sono state presentate come uno dei modi più efficaci per ridurre la dipendenza dalle password, e in molti casi lo sono davvero. Eliminano la necessità di digitare segreti riutilizzabili, resistono molto meglio al phishing tradizionale e spostano l’autenticazione su chiavi crittografiche legate al dispositivo. Ma ogni volta che un meccanismo di sicurezza diventa familiare agli utenti, gli aggressori iniziano a sfruttarne il nome, l’interfaccia e il contesto. Microsoft Security Research ha documentato una campagna osservata almeno da maggio 2026 in cui proprio il tema delle passkey viene utilizzato in operazioni di social engineering che portano alla compromissione di identità cloud, all’aggiunta di metodi di autenticazione controllati dall’attaccante e alla raccolta di dati da Microsoft Graph, SharePoint, OneDrive ed Exchange.
Il punto più importante è che non siamo davanti a una falla delle passkey in quanto tali. Gli aggressori non stanno “rompendo” la crittografia che le rende sicure; stanno costruendo percorsi che convincono l’utente a compiere azioni apparentemente legittime oppure approfittano di sessioni e flussi di autenticazione già compromessi. È un promemoria utile perché la sicurezza moderna non può essere ridotta alla domanda su quale fattore di autenticazione sia più forte. Anche il miglior fattore perde valore se un attaccante riesce a ottenere una sessione valida, aggiungere un proprio metodo MFA o operare attraverso un account già compromesso.
La catena dell’attacco parte dall’identità
Microsoft descrive una sequenza abbastanza coerente: attività di impersonazione e social engineering, accessi anomali, aggiunta di nuovi metodi di autenticazione, ricognizione attraverso Microsoft Graph e infine ricerca e download di contenuti da servizi cloud aziendali. In alcuni casi l’attività è compatibile con esfiltrazione su larga scala e potenziale estorsione.
Questa struttura racconta come è cambiato il valore di un account aziendale. Un tempo il bersaglio principale era il computer: ottenere malware su una macchina permetteva di cercare file, credenziali e accessi interni. In un’organizzazione che usa Microsoft 365, Google Workspace o piattaforme SaaS analoghe, una singola identità cloud può invece aprire direttamente posta, documenti, directory, calendari, repository e applicazioni collegate. L’account diventa il computer distribuito dell’utente.
La persistenza non passa più necessariamente da un malware
Uno degli aspetti più interessanti dell’analisi Microsoft riguarda l’aggiunta di metodi di autenticazione. Se l’attaccante riesce a registrare un fattore sotto il proprio controllo, non deve più dipendere dalla password sottratta inizialmente. Può trasformare un accesso temporaneo in una forma di persistenza che appare, a prima vista, come una normale configurazione dell’account.
È una tecnica particolarmente insidiosa perché molte procedure di risposta agli incidenti si concentrano ancora sul cambio password. Cambiare la password è necessario, ma non sufficiente se l’attaccante ha già creato una sessione persistente, registrato un token o aggiunto un nuovo metodo MFA. Microsoft raccomanda infatti di revocare le sessioni e rimuovere i metodi di autenticazione non autorizzati, oltre a investigare la sequenza di attività nei diversi servizi cloud.
Microsoft Graph è diventato un acceleratore anche per gli aggressori
Graph è l’API che permette alle applicazioni di interagire con una parte enorme dell’ecosistema Microsoft 365. Per gli sviluppatori è uno strumento potente perché offre un’interfaccia unificata; per un attaccante che dispone di credenziali o token validi può diventare lo stesso tipo di leva. L’analisi di Microsoft segnala attività ad alto volume compatibile con ricognizione e raccolta automatizzata.
Questo è un passaggio importante nella trasformazione della cybercriminalità. Non serve più aprire manualmente centinaia di cartelle: le stesse API costruite per automatizzare il lavoro legittimo possono automatizzare anche la ricerca di contenuti interessanti. Una volta compromessa l’identità, l’attaccante può muoversi a velocità da software.
Perché il phishing continua a funzionare anche dopo le passkey
Le passkey riducono una classe di attacchi, ma non eliminano il social engineering. Un utente può ancora essere convinto a installare un’applicazione, approvare un consenso OAuth, seguire una procedura di “recupero”, comunicare un codice o modificare impostazioni. La superficie si sposta dal segreto statico alla relazione tra utente, dispositivo, applicazione e sessione.
Questo significa che le aziende devono abbandonare l’idea di una singola tecnologia miracolosa. L’autenticazione phishing-resistant è un pilastro, ma va accompagnata da conditional access, controllo dei dispositivi, limiti alla registrazione di nuovi metodi, monitoraggio degli accessi anomali e capacità di correlare segnali tra identità e dati.
Il vero allarme è la normalità dell’infrastruttura usata
Microsoft sottolinea che domini, indirizzi IP e provider possono cambiare rapidamente. Per questo invita i difensori a non affidarsi soltanto agli indicatori statici ma a cercare la sequenza comportamentale: compromissione dell’identità, persistenza, ricognizione, scoperta di contenuti ed esfiltrazione.
È una raccomandazione che riflette un problema più ampio. Gli aggressori usano sempre più servizi cloud legittimi, hosting commerciale e strumenti disponibili a tutti. Bloccare un indirizzo o una firma risolve poco se l’attacco può essere ricreato poche ore dopo su una nuova infrastruttura. Diventa più importante capire il comportamento che distinguere “buono” e “cattivo” sulla base dell’origine del traffico.
La risposta agli incidenti deve includere l’identità come sistema
Quando un account viene compromesso, la prima domanda non dovrebbe essere soltanto “abbiamo cambiato la password?”, ma “che cosa è cambiato nell’identità?”. Bisogna controllare metodi MFA, dispositivi registrati, applicazioni autorizzate, token, sessioni, regole di inoltro della posta, attività Graph e download anomali.
Questo richiede una collaborazione più stretta tra team che in passato potevano essere separati: identity, endpoint, email, cloud security e data protection. Se ogni squadra guarda soltanto il proprio log, la catena può sembrare una serie di eventi scollegati. È la correlazione a mostrare l’incidente.
Le passkey restano una buona idea, ma non sono la fine del problema
Sarebbe un errore leggere la campagna come prova che le passkey “non funzionano”. Al contrario, eliminare password riutilizzabili e ridurre la possibilità di consegnarle a un sito falso resta un miglioramento enorme. Il problema è aspettarsi che una singola innovazione renda irrilevanti tutti gli altri livelli di sicurezza.
La storia della cybersecurity è una sequenza di spostamenti. Quando un livello diventa più difficile da attaccare, l’avversario cerca un’altra strada. Oggi il valore si sta concentrando sull’identità cloud e sulle sessioni che consentono di usare servizi legittimi come se si fosse l’utente. Il lavoro di Microsoft mostra che la prossima generazione di difese dovrà essere altrettanto capace di leggere relazioni, contesto e comportamento.
La morale è meno rassicurante di uno slogan ma più utile: l’autenticazione forte riduce il rischio, non lo annulla. Nell’era del cloud il perimetro non è più la rete aziendale; è l’insieme dinamico di identità, autorizzazioni e dati che seguono una persona ovunque lavori.
