Cos’è SessionShark e perché dovrebbe interessare alla tua azienda
Un nuovo kit di phishing chiamato SessionShark sta facendo parlare di sé negli ambienti della cybersecurity, e a ragione. A differenza dei tradizionali attacchi di phishing che si limitano a rubare le password, SessionShark è costruito apposta per aggirare l’autenticazione a più fattori (MFA) sugli account Microsoft 365, la piattaforma su cui ogni giorno si appoggiano milioni di aziende europee.
Per le piccole e medie imprese di Italia e UE è un cambio di scenario importante. L’MFA è stata a lungo considerata un livello di protezione affidabile, e molte aziende l’hanno adottata convinte che avrebbe messo al sicuro i propri account. SessionShark mette in discussione questa certezza in modo diretto.
Il kit è venduto come prodotto di phishing-as-a-service (PhaaS) nei forum clandestini, con tanto di abbonamento, pannello di amministrazione curato e perfino assistenza clienti. Non servono quindi più competenze di hacking avanzate per lanciare un attacco sofisticato. Chiunque abbia qualche centinaio di euro e cattive intenzioni può farlo.
Come SessionShark aggira l’autenticazione a più fattori
SessionShark usa una tecnica nota come adversary-in-the-middle (AitM) per intercettare in tempo reale l’intero processo di accesso. Ecco come funziona nella pratica.
Il trucco del proxy
Quando la vittima clicca su un link di phishing, arriva su quella che sembra esattamente la pagina di accesso di Microsoft 365. Succede perché, in sostanza, è la vera pagina di accesso: SessionShark agisce da reverse proxy e recupera e mostra la vera interfaccia di autenticazione di Microsoft attraverso il proprio server.
La vittima inserisce nome utente e password e completa la verifica MFA come al solito. Può toccare “approva” sull’app di autenticazione o digitare un codice monouso. Tutto sembra normale. Ma dietro le quinte SessionShark si trova tra l’utente e Microsoft e cattura ogni cosa, compreso il token di sessione autenticato che Microsoft emette dopo l’accesso riuscito.
Perché il token di sessione è decisivo
Quando l’attaccante ha il token di sessione, può accedere all’account Microsoft 365 della vittima senza più bisogno della password né dell’MFA. Il token dice in sostanza a Microsoft: “questo utente si è già autenticato”. L’attaccante importa semplicemente il cookie nel proprio browser ed entra.
Ottiene così accesso immediato alle email di Outlook, ai file di OneDrive, ai documenti di SharePoint e alle conversazioni di Teams. In molti casi l’account compromesso viene poi usato per truffe di business email compromise (BEC): invio di fatture o richieste di pagamento fraudolente da un indirizzo email legittimo e fidato.
Tecniche di evasione integrate
Ciò che rende SessionShark particolarmente difficile da individuare è l’uso di protezioni anti-analisi. Il kit integra i servizi Cloudflare per mascherare la propria infrastruttura e mostra sfide CAPTCHA prima di far comparire la pagina di phishing. Così gli scanner di sicurezza automatici e i servizi di reputazione degli URL vedono spesso solo una pagina di verifica innocua, non il vero contenuto di phishing.
L’esfiltrazione in tempo reale tramite bot Telegram fa sì che credenziali e token di sessione rubati arrivino all’attaccante nel giro di pochi secondi dalla cattura, lasciando alla vittima e al suo team IT praticamente nessun tempo di reazione.
La minaccia crescente degli attacchi che aggirano l’MFA
SessionShark non è un caso isolato. Si aggiunge a una famiglia sempre più numerosa di piattaforme di phishing AitM (tra cui EvilProxy, Tycoon 2FA e Greatness) che hanno trasformato l’aggiramento dell’MFA in un servizio di largo consumo. Secondo vari report di threat intelligence del 2025, gli attacchi di phishing in grado di aggirare l’MFA sono cresciuti di oltre il 100% su base annua.
La stessa Microsoft ha riconosciuto che il furto di token è una delle categorie di attacco in più rapida crescita. L’azienda risulta costantemente il marchio più impersonato nelle campagne di phishing, con il furto di credenziali Office 365 che rappresenta la singola categoria più grande di attacchi di phishing a livello globale.
Per le PMI europee il rischio è aggravato dalla pressione normativa. Ai sensi del GDPR, un account email compromesso che espone dati dei clienti può far scattare la notifica obbligatoria della violazione e possibili sanzioni. Il Garante per la Protezione dei Dati Personali è sempre più attivo nel far rispettare questi obblighi, e una sola casella di posta violata contenente comunicazioni con i clienti potrebbe mettere la tua azienda dalla parte sbagliata della conformità.
Passi pratici per proteggere la tua azienda
La buona notizia è che esistono difese efficaci. L’importante è andare oltre l’MFA di base e adottare misure di sicurezza a più livelli, adeguate alle minacce di oggi.
Adotta un’autenticazione resistente al phishing
La difesa singola più efficace contro SessionShark e gli attacchi AitM simili è passare all’autenticazione basata su FIDO2: chiavi di sicurezza hardware come YubiKey oppure passkey. Questi metodi legano crittograficamente il processo di autenticazione al dominio legittimo. Se l’utente si trova su un sito di phishing, la chiave di sicurezza semplicemente non risponde. Per come è fatta, è immune agli attacchi basati su proxy.
Microsoft Entra ID supporta pienamente chiavi di sicurezza FIDO2 e passkey, e questo rende l’aggiornamento un percorso realistico anche per le organizzazioni più piccole che usano già Microsoft 365.
Rafforza la configurazione di Microsoft 365
Alcune modifiche di configurazione possono ridurre molto l’esposizione:
- Policy di accesso condizionale che richiedono dispositivi gestiti e conformi e che limitano gli accessi da posizioni sconosciute o da endpoint non registrati.
- Continuous access evaluation (CAE) per abilitare la revoca dei token quasi in tempo reale quando viene rilevata un’attività sospetta, come un viaggio impossibile o un cambio improvviso di IP.
- Durata più breve dei token di sessione per limitare la finestra di opportunità in caso di furto di un token.
- Blocco completo dei protocolli di autenticazione legacy, perché non supportano affatto l’MFA e rappresentano una via facile per aggirarla.
Investi in rilevamento e consapevolezza
I controlli tecnici funzionano meglio insieme alla consapevolezza delle persone. Forma il tuo personale a esaminare con attenzione gli URL prima di inserire le credenziali, anche quando la pagina di accesso sembra legittima. Sottolinea che una pagina dall’aspetto convincente non è garanzia di autenticità: è proprio ciò che sfruttano gli attacchi AitM.
Sul fronte del monitoraggio, attiva il rilevamento del rischio di accesso in Microsoft Entra ID Protection. Tieni d’occhio gli schemi anomali: accessi da nuovi dispositivi, posizioni geografiche insolite o accessi massivi al contenuto delle caselle. Prepara una procedura di risposta agli incidenti che preveda la revoca di tutte le sessioni attive e la nuova autenticazione forzata quando si sospetta una compromissione.
Il punto per le PMI europee
SessionShark è un segnale chiaro che lo scenario della cybersecurity è cambiato. L’MFA resta importante (blocca ancora la grande maggioranza degli attacchi automatizzati e opportunistici), ma da sola non basta più contro campagne di phishing mirate e sofisticate.
Per le aziende italiane ed europee soggette agli obblighi di GDPR e NIS2, il messaggio è semplice: rivedi la tua strategia di autenticazione, dai priorità ai metodi resistenti al phishing dove possibile e assicurati che il tuo ambiente Microsoft 365 sia configurato pensando alle minacce di oggi. Aggiornare le difese costa una frazione di ciò che può costare una compromissione riuscita dell’account in sanzioni, clienti persi e fiducia danneggiata.