Account Microsoft rubato con furto di token? Come capirlo e recuperarlo

Il 21 maggio 2026 l'FBI ha pubblicato un avviso pubblico su un kit di phishing offerto "come servizio", chiamato Kali365, descritto anche dalla società di sicurezza Malwarebytes. Non sottrae gli account Microsoft 365 rubando la password, ma ottenendo i token di accesso che Microsoft rilascia a un dispositivo una volta approvato l'accesso.

Tutta la difficoltà sta qui. La vittima riceve una falsa condivisione di documento o una falsa notifica di Teams che la invita a inserire un codice su una pagina di accesso Microsoft autentica, quella usata per collegare un dispositivo. Inserendo il codice, autorizza in realtà il dispositivo dell'aggressore, che riceve token di accesso e di aggiornamento legati all'account. Secondo l'FBI, l'aggressore entra così nell'account senza bisogno della password né di un ulteriore passaggio di autenticazione a più fattori.

Si è tentati di considerarlo un problema informatico aziendale. Non è solo questo: l'FBI parla degli account Microsoft 365, e la stessa prudenza vale per chiunque usi Outlook o un abbonamento Microsoft. Se pensa che il Suo account sia stato sottratto, ecco come accorgersene e cosa fare.

Come capire se il Suo account è stato violato

Questo tipo di attacco è discreto, quindi i segnali sono spesso deboli. Ciascuno di essi merita un controllo più attento:

• un accesso o un dispositivo che non riconosce nell'attività recente del Suo account (Microsoft propone allora di indicare "Non sono stato io") o nell'elenco dei Suoi dispositivi;
• email nella cartella Posta inviata che non ha mai scritto, o messaggi spariti dalla posta in arrivo;
• un inoltro automatico, una risposta automatica o una regola della posta in arrivo che non ha creato;
• avvisi di reimpostazione della password per altri account (banca, social network) che non ha richiesto;
• contatti che Le segnalano di aver ricevuto da Lei un "documento condiviso" o una richiesta di accesso inattesi.

Se nota questi segnali, consideri l'account compromesso e agisca rapidamente.

La procedura di recupero, passo dopo passo

Proceda da un dispositivo affidabile, non da quello che sospetta coinvolto.

1. Se non riesce più ad accedere, usi lo strumento di assistenza all'accesso di Microsoft ("sign-in helper"), che indica la procedura di recupero corretta.
2. Analizzi il computer. Microsoft raccomanda di verificare che l'antivirus sia aggiornato e di eseguire un'analisi completa prima di cambiare la password.
3. Cambi la password, o la reimposti se non riesce ad accedere, scegliendone una robusta.
4. Si disconnetta ovunque. Nelle opzioni di sicurezza avanzate dell'account Microsoft, la sezione "Disconnetti ovunque" La disconnette dai dispositivi attendibili. Secondo Microsoft, la disconnessione da browser e app avviene entro 24 ore; una console Xbox va disconnessa separatamente. Per un account aziendale o scolastico, avvisi anche il servizio informatico.
5. Controlli le impostazioni della posta. Microsoft indica di aver reimpostato alcune impostazioni dopo una violazione, e invita a verificare gli account collegati, l'inoltro e le risposte automatiche. Controlli anche le regole della posta in arrivo ed elimini quelle che non ha creato.
6. Verifichi le informazioni di sicurezza. Si assicuri che l'email e il telefono di recupero, e i metodi di autenticazione a più fattori registrati, siano davvero i Suoi; elimini quelli che non ha aggiunto.
7. Controlli i dispositivi e le app collegati, e rimuova quelli che non riconosce.
8. Verifichi cosa è stato toccato: link di condivisione OneDrive, messaggi letti o inviati, per sapere chi altro avvisare.

Lo segnali

La segnalazione non ripristinerà l'account da sola, ma crea una traccia che potrebbe servirLe in seguito. Negli Stati Uniti, l'FBI riceve le segnalazioni tramite l'Internet Crime Complaint Center (ic3.gov). Nell'Unione europea, lo segnali alle forze dell'ordine del Suo Paese. Se la violazione ha esposto dati personali, in particolare di altre persone, può informare anche l'autorità di protezione dei dati (in Italia, il Garante per la protezione dei dati personali).

Quando il recupero si blocca, e dove interviene AccountRights

La maggior parte delle sottrazioni di account si risolve con i passaggi sopra. Alcune no: l'account resta bloccato in un ciclo di verifica, l'aggressore ha sostituito le informazioni di recupero con le proprie, o la procedura automatica del fornitore continua a negarLe l'accesso. È lo stesso muro contro cui si scontrano le persone con un account Facebook o Instagram violato: gli strumenti self-service si esauriscono.

Per essere chiari: AccountRights non è un supporto tecnico. Non possiamo reimpostare la Sua password né farLa accedere di nuovo, e i passaggi sopra restano il giusto punto di partenza. Interveniamo nella fase successiva, quando un titolare legittimo ha fatto tutto correttamente e l'account resta irraggiungibile, o quando la perdita ha causato un danno reale.

A quel punto le leve diventano giuridiche. L'articolo 15 del GDPR Le riconosce un diritto di accesso ai dati personali che il fornitore detiene su di Lei, con risposta dovuta entro un mese, prorogabile di due mesi. Una lettera formale indirizzata all'ufficio legale del fornitore può esporre i fatti, i documenti e la Sua qualità di titolare dell'account, e chiedere il ripristino dell'accesso. La diagnosi gratuita di AccountRights richiede circa cinque minuti e La orienta verso la soluzione più adatta: lettera inviata da AccountRights, lettera predisposta, firmata e inviata da un avvocato partner indipendente, o presa in carico completa da parte di un avvocato partner di AccountRights, con cui concorda direttamente gli onorari, per iscritto, prima di qualsiasi attività.

Inizi la diagnosi gratuita

Il miglior recupero è non averne bisogno

Una sola abitudine sventa questa categoria di attacchi: non inserisca mai un codice di accesso su una pagina Microsoft solo perché un'email, una condivisione di documento o un invito di Teams glielo chiede. Lo faccia soltanto quando è Lei ad aver avviato l'accesso, sul Suo dispositivo. Con questa truffa la pagina è davvero quella di Microsoft: è questo che la rende efficace.

Fonti

• FBI IC3: avviso di servizio pubblico del 21 maggio 2026 su Kali365
• Malwarebytes: il kit di phishing Kali365 aggira l'autenticazione a più fattori (27 maggio 2026)
• Microsoft: recuperare un account Microsoft violato o compromesso
• Microsoft: disconnettersi ovunque