Il pesante disservizio subito da Microsoft il 12 e 13 novembre (leggi qua) e (leggi qua) e che secondo il sito di monitoraggio dei guasti Downdetector ha interessato i prodotti Microsoft in 74 Paesi, del continente americano, nonché in alcune regioni dell’Europa, dell’Asia e dell’Africa ha riportato l'attenzione sulla dipendenza di aziende e utenti dagli strumenti digitali e sui rischi che possono emergere in situazioni di emergenza. A sfruttare questi momenti di confusione possono essere anche i cybercriminali, come sottolinea Leonid Bezvershenko, Senior Security Researcher del Kaspersky GReAT, illustrando le possibili minacce e le misure da adottare per prevenirle.

“L'interruzione dei servizi Microsoft 365 verificatasi il 12 e il 13 novembre 2026, che ha compromesso l'accesso e il funzionamento di diversi strumenti di lavoro, ha generato proprio quel clima di confusione e urgenza che i truffatori non esitano a sfruttare. Quando i normali canali di comunicazione e gli strumenti utilizzati quotidianamente smettono di funzionare, dipendenti e clienti possono diventare più inclini a fidarsi di messaggi che sembrano offrire aggiornamenti, soluzioni alternative o procedure rapide per ripristinare l'accesso. Per le organizzazioni che non dispongono di adeguate misure di sicurezza informatica, in grado di rilevare e bloccare reindirizzamenti dannosi e comportamenti anomali sulla rete, una situazione di questo tipo può trasformarsi in una minaccia ben più seria di una semplice interruzione operativa.

I cybercriminali possono sfruttare incidenti simili attraverso diverse modalità: dall'invio di e-mail e SMS di phishing che imitano le comunicazioni di Microsoft o dei team IT aziendali, fino a false richieste di reimpostazione delle password, link fraudolenti per il ripristino degli account e pagine di accesso contraffatte, progettate per sottrarre credenziali e codici di autenticazione a più fattori (MFA). Gli aggressori potrebbero inoltre fingersi operatori dell'help desk per convincere gli utenti a concedere l'accesso remoto ai propri dispositivi, oppure diffondere falsi aggiornamenti sullo stato dei servizi attraverso social media, caselle e-mail personali e applicazioni di messaggistica. Nel pieno di un disservizio, anche una semplice richiesta di "effettuare nuovamente l'autenticazione" o di "verificare il proprio account" può apparire del tutto legittima, proprio perché coerente con ciò che gli utenti si aspettano in quel momento.

Per ridurre questi rischi, le organizzazioni dovrebbero individuare e comunicare un'unica fonte ufficiale e verificata attraverso cui diffondere gli aggiornamenti sullo stato dei servizi, mettendo al contempo in guardia dipendenti e clienti dalle richieste di assistenza non sollecitate. È inoltre importante ricordare che nessun fornitore legittimo dovrebbe chiedere agli utenti di condividere le proprie password o i codici MFA, né di concedere accessi remoti attraverso canali non verificati. I team di sicurezza dovrebbero monitorare con particolare attenzione eventuali tentativi di impersonificazione, intervenire tempestivamente per individuare e bloccare i domini fraudolenti che imitano quelli legittimi e assicurarsi che il personale dell'help desk applichi rigorose procedure di verifica dell'identità. Anche gli utenti finali possono contribuire alla propria protezione adottando soluzioni di sicurezza affidabili, mantenendo alta l'attenzione e verificando sempre l'autenticità delle comunicazioni prima di cliccare su link o condividere informazioni sensibili”.