Nel primo semestre 2026, Huntress Labs segnala un aumento di 155 volte degli attacchi di password spraying, con cybercriminali che aggirano le policy MFA sfruttando flussi di autenticazione legacy e configurazioni incomplete.
Nel primo semestre del 2026, Huntress Labs ha rilevato un incremento senza precedenti negli attacchi di password spraying, con un aumento di 155 volte rispetto ai periodi precedenti. Questi attacchi, pur basandosi su tecniche note di brute force, si sono evoluti sfruttando nuove vulnerabilità nelle configurazioni di autenticazione multi-fattore (MFA), in particolare nei flussi legacy non coperti dalle policy di sicurezza più recenti.
Azure CLI e il ritorno dei flussi legacy
Una delle campagne più significative ha preso di mira Microsoft Azure CLI, lo strumento a riga di comando utilizzato dagli amministratori per gestire risorse Azure ed Entra. Il traffico malevolo proveniva da una gamma IPv6 gestita da LSHIY LLC, provider di hosting internet. Solo nella seconda metà di giugno, Huntress ha registrato oltre 81 milioni di tentativi di accesso e 78 compromissioni di account in due settimane.
Gli attaccanti hanno combinato la scala del password spraying con l'uso di credenziali già violate e mai aggiornate, aumentando il valore di ogni accesso riuscito. Hanno inoltre sfruttato il grant OAuth legacy Resource Owner Password Credentials (ROPC), ormai deprecato in OAuth 2.1, che consente l'invio diretto di username e password all'endpoint /token senza richiedere MFA o SSO. Questo ha permesso di aggirare le policy MFA basate su Conditional Access Policy (CAP), lasciando scoperti molti account aziendali.
Infrastrutture BYOIP e aggiramento dei blocchi
LSHIY offriva un servizio BYOIP (Bring Your Own IP), che permette ai clienti di instradare traffico attraverso IP di loro proprietà. Questa flessibilità ha consentito agli attaccanti di cambiare rapidamente provider e range IP, rendendo inefficaci i blocchi basati su indirizzo IP. Dopo la chiusura del range originale da parte di LSHIY, gli attacchi si sono spostati su altri provider come FranTech (IPv6) e 3xK Tech (IPv4), trasformando la difesa in un gioco infinito di whack-a-mole.
Policy MFA: il vero punto debole
L'analisi di Huntress su 23 aziende colpite mostra che otto non avevano alcuna MFA attiva, mentre nelle altre 15 le policy MFA erano troppo ristrette: applicate solo ad alcune app, gruppi o in modalità report-only. Questo ha permesso agli attaccanti di sfruttare i flussi non protetti, come ROPC, per accedere agli account senza ostacoli.
La situazione evidenzia la necessità di rivedere la copertura delle policy di Conditional Access: una configurazione apparentemente sicura può lasciare fuori utenti, applicazioni o metodi di accesso specifici, mantenendo aperte falle sfruttabili dai cybercriminali.
Strategie di difesa e raccomandazioni
Per mitigare questi attacchi, Huntress consiglia di:
- Imporre una corretta igiene delle password e valutare soluzioni passwordless
- Disabilitare ROPC e le app che lo utilizzano
- Limitare l'uso di Azure CLI agli amministratori
- Dare priorità alla validità delle credenziali rispetto al volume degli attacchi
- Richiedere MFA per tutti gli utenti, app cloud e tipi di client, senza eccezioni
- Bloccare i metodi di autenticazione che non supportano MFA, incluso ROPC
- Applicare impostazioni di Conditional Access avanzate come userStrongAuthClientAuthNRequired
Come sottolinea Rich Mozeleski di Huntress, una Conditional Access ben configurata è una vera "superpotenza" difensiva. Gli attaccanti possono cambiare provider e IP più velocemente di quanto i difensori possano bloccarli: solo una copertura MFA totale e policy granulari possono chiudere la porta agli accessi non autorizzati.
Formazione e threat intelligence in tempo reale
Per chi vuole approfondire le tecniche degli attaccanti e le strategie di difesa, il ciclo Tradecraft Tuesday di Huntress offre analisi tecniche, walkthrough di incidenti reali e confronto diretto con gli analisti. Un approccio simile a quello adottato per le nuove minacce Android, come illustrato nell'articolo su WindRelay e SpyNote e il furto di dati tramite malware NFC, dimostra quanto sia fondamentale aggiornare costantemente le proprie difese e policy di accesso.
