Cosa accadrebbe se gli attaccanti potessero testare milioni di combinazioni di username e password aziendali senza mai far scattare un allarme? È esattamente quello che sta accadendo con lo spoofing del Client ID OAuth, una tecnica emergente identificata dai ricercatori di Proofpoint, piattaforma di cybersecurity per la protezione di email, utenti e dati.
Il meccanismo è astuto: invece di utilizzare applicazioni OAuth legittime (come Azure AD PowerShell o Outlook) che i team di sicurezza monitorano attentamente, gli attaccanti creano identificativi di applicazioni fasulle. Falsificando questi client ID nelle richieste di autenticazione, riescono a testare credenziali aziendali in modo che le attività appaiano distribuite tra centinaia di migliaia di applicazioni diverse – in realtà tutte inesistenti.
Microsoft Entra ID risponde comunque a queste richieste con codici di errore rivelando così informazioni preziose: se un account esiste, se la password è corretta, se è attiva l’autenticazione multi-fattore. Gli attaccanti sfruttano queste risposte per mappare le credenziali aziendali senza mai completare un accesso effettivo, aggirando i sistemi di rilevamento che cercano picchi di attività su applicazioni specifiche e le policy di accesso condizionale.
Le campagne identificate
Proofpoint ha osservato due distinte campagne attive negli ultimi mesi, con modalità operative differenti che suggeriscono l’adozione indipendente della stessa tecnica da parte di gruppi diversi.
UNK_pyreq2323 (gennaio-marzo 2026)
· Oltre 1 milione di account target in quasi 4.000 aziende
· 700.000+ identificativi OAuth falsificati
· Il 28% degli utenti colpiti ha subìto blocchi dell’account per l’elevato volume di tentativi falliti
UNK_OutFlareAZ (dicembre 2025 – marzo 2026)
· Oltre 2 milioni di utenti target
· 3,7 milioni di identificativi dell’applicazione falsificati
· Due ondate distinte di attacchi, la seconda culminata a metà marzo con oltre 720.000 utenti colpiti
Le differenze nelle infrastrutture utilizzate (AWS per la prima campagna, Cloudflare per la seconda), negli strumenti e nelle modalità di generazione degli identificativi falsificati indicano che non si tratta di attacchi isolati, ma di una tecnica che si sta diffondendo rapidamente tra diversi attori della minaccia.
Impatto per le aziende
Il rischio maggiore è che questa tecnica crea un punto cieco nella sicurezza enterprise. A differenza degli attacchi tradizionali, i cybercriminali possono validare credenziali compromesse senza mai completare un accesso. Questo significa che i team di sicurezza potrebbero rilevare e bloccare tentativi di enumerazione senza rendersi conto che, nel frattempo, credenziali valide sono già state identificate e catalogate per essere utilizzate in attacchi successivi più mirati.
È uno scenario in cui l’azienda pensa di aver respinto un attacco, mentre in realtà il malintenzionato ha già ottenuto esattamente ciò che cercava: una lista di credenziali funzionanti.
Come difendersi
È necessario adottare un approccio più granulare nell’analisi degli accessi, in particolare:
· Monitorare i log alla ricerca di eventi in cui il nome applicazione non risulta popolato, potrebbero segnalare identificativi falsificati.
· Prestare particolare attenzione agli eventi con codice errore AADSTS700016, che potrebbe indicare credenziali valide identificate dagli attaccanti.
· Cambiare prospettiva: non limitarsi a contare i tentativi di accesso bloccati, ma considerare che dietro quegli errori potrebbero nascondersi credenziali già compromesse.
