Netcrook
#FIDO2
La battaglia nascosta dietro l'MFA: perché l'aderenza conta più della fama nella sicurezza delle identità
Un riepilogo MFA 2026 mette in evidenza una verità più grande: il controllo di accesso più sicuro è quello che si adatta all'ambiente, soprattutto quando i metodi resistenti al phishing e la copertura delle applicazioni legacy divergono.
Le passkey non sono un solo prodotto - Sono una scelta di sicurezza sul controllo
La nuova ondata di strumenti senza password riguarda meno la sostituzione delle password e più la decisione se la fiducia risieda sul dispositivo, nel provider di identità o all'interno di un flusso di onboarding verificato.
L'ultima patch iPhone di Apple mostra quanto in profondità possa arrivare il rischio mobile
Un ampio rilascio di sicurezza per iOS e iPadOS tocca gli strati fondamentali della piattaforma, dal kernel a WebKit, e racconta molto sulla difesa mobile moderna.
Il passaggio all'identità nel Regno Unito restringe la finestra del phishing, ma non la chiude del tutto
GOV.UK One Login si sta muovendo verso le passkey per oltre 23 milioni di utenti, un cambiamento che indebolisce gli attacchi basati su password e SMS lasciando però il recupero e i percorsi di fallback come punti di pressione.
Quando un bug del browser incontra una falla del kernel, la sandbox smette di essere un confine
Una catena di exploit condivisa contro le ONG mostra come un punto d'appoggio nel browser possa essere trasformato in un'intrusione Windows molto più ampia quando i tempi delle patch e i confini dei privilegi si allineano male.
L'identità ha assorbito metà del colpo in un quarto degli avvisi, e questo conta
Una revisione trimestrale degli avvisi dei clienti ha individuato quattro modelli di attacco ricorrenti, con l'attività legata all'identità che rappresenta circa la metà del comportamento malevolo confermato.
Quando l'MFA non basta: la sessione che lascia entrare i phisher
Un'operazione di phishing per Microsoft 365 mostra perché la difesa moderna dell'identità non riguarda più solo password e codici, ma il fatto che una sessione del browser possa essere rubata e riutilizzata.
La trappola MFA nascosta in una macchina di phishing di Microsoft 365
Un'operazione di phishing-as-a-service collegata a BigBear 2.0 mostra come gli aggressori possano aggirare un prompt MFA riuscito prendendo di mira la sessione autenticata invece della password.
Le passkey non sono compromesse - Lo è il livello di identità che le circonda
Un insieme di 39 tecniche documentate mostra come gli attaccanti possano colpire prompt, registrazione, recupero e credenziali sincronizzate senza superare la crittografia FIDO2 stessa.
La sessione era il premio: come i kit AitM trasformano le pagine di accesso a Microsoft 365 in profitto
Un toolkit di phishing in abbonamento commercializzato per Microsoft 365 mostra come il cybercrime si stia spostando dalla cattura delle password al dirottamento delle sessioni, dove il vero valore risiede nel token, non nel login.
Quando una falsa traccia di firma diventa una trappola Microsoft 365 in tempo reale
NovaCookies trasforma le notifiche di documenti attendibili in un punto di rimbalzo per il furto di identità, mostrando come la cattura della sessione possa contare più del furto della password.
Mirage2FA e il nuovo mercato del furto di identità nel cloud
Un kit di phishing-as-a-service rivolto agli account Microsoft 365 mostra come l'intercettazione moderna degli accessi possa trasformare l'MFA in un piccolo ostacolo invece che in una barriera.
Quando la porta del cloud si apre con l'inganno, il danno inizia dall'identità
Apollo Global Management ha reso nota un'incidente cloud di luglio legato all'ingegneria sociale, un promemoria che nelle violazioni moderne il primo bersaglio è spesso l'account, non il server.
Quando i reset della password smettono di essere la via d'uscita
Si dice che un toolkit di phishing segnalato registri la propria passkey, mostrando come il recupero dell'account possa diventare un percorso di persistenza invece di una rottura pulita.
JWR trasforma i messaggi di testo in un desk di phishing in tempo reale per truffe bancarie
Un kit di phishing-as-a-service recentemente identificato usa esche via SMS e il monitoraggio dei moduli in tempo reale per guidare le vittime attraverso falsi flussi bancari mentre gli operatori osservano credenziali, dati delle carte e codici monouso.
Il furto silenzioso dietro l'identità cloud: perché gli elenchi dei dipendenti sono ormai moneta di strada
Una presunta rivendita di dati di tenant legati a multinazionali nominate mostra come credenziali cloud rubate possano trasformare i sistemi di identità in motori di ricognizione.
Quando la directory diventa il bersaglio: perché l'hardening di AD decide ancora l'esito
Una nuova guida 2026 sulla sicurezza di Active Directory richiama una verità familiare: se l'identità è debole, il resto dell'ambiente eredita il rischio.
Microsoft spinge Entra ID verso le passkey e gli OTP legacy verso l'uscita
Microsoft prevede di rendere le passkey l'impostazione predefinita in Entra ID nel 2026, per poi ritirare nel 2027 la propria distribuzione MFA via SMS e voce, costringendo le aziende a fare i conti con l'anello più debole della loro catena di accesso.
Il passaggio silenzioso di Microsoft: Entra ID spinge gli utenti verso i passkey e si allontana dagli SMS
Una modifica pianificata dell'identità in Microsoft Entra ID pone l'autenticazione resistente al phishing al centro dell'accesso aziendale, mentre gli SMS e la MFA vocale iniziano un'uscita controllata.
Passkey sotto pressione: perché un accesso resistente al phishing può comunque diventare un bersaglio
Una famiglia di attacco segnalata e rivolta a Windows 11 e Microsoft Entra ID ricorda che la sicurezza senza password dipende dall'intera catena dell'identità, non solo dalla crittografia all'interno della chiave.