Sondaggio Microsoft 365: MFA nelle aziende, lacune negli account

Nel sondaggio condotto da Act nel settembre 2026, l’89,8% delle aziende che avevano segnalato accessi non autorizzati, compromissioni o sospetti applicava l’autenticazione a più fattori (MFA). Tra gli account coinvolti o sospetti, però, il 43,0% risultava escluso o temporaneamente privo di MFA e il 21,4% presentava problemi con i metodi o le impostazioni di autenticazione. Le due categorie riguardavano complessivamente il 64,4% degli account. I risultati sono stati riferiti da TechTarget Japan il 29 ottobre 2026.

Il sondaggio ha coinvolto 1.002 persone che si occupavano di Microsoft 365 in aziende private con 100–999 dipendenti. Il periodo considerato per gli incidenti andava da settembre 2025 a settembre 2026. Nel complesso, il 71,5% delle aziende intervistate aveva segnalato accessi non autorizzati, compromissioni o sospetti.

Le percentuali aziendali e quelle relative agli account descrivono gruppi diversi. L’89,8% riguarda le aziende con incidenti o sospetti; il 64,4% è la somma delle due categorie di criticità riferite per gli account coinvolti o sospetti.

In questo articolo

• I controlli regolari restano meno diffusi
• Come una sessione può essere compromessa dopo MFA
• La risposta descritta da Microsoft comprende anche la revoca delle sessioni

I controlli regolari restano meno diffusi

L’82,6% aveva usato raccomandazioni di sicurezza per controllare le impostazioni, mentre il 67,1% si dichiarava fiducioso nella loro configurazione. Il 32,7% riferiva di effettuare verifiche con regolarità.

Fra gli ambiti di controllo, il 40,4% delle aziende riferiva revisioni dell’Accesso condizionale e il 32,2% della protezione degli account amministratore. Le verifiche delle autorizzazioni OAuth erano indicate dall’11,0%, quelle dei registri di audit o degli avvisi dal 10,1%. Le integrazioni con strumenti di IA, come Microsoft 365 Copilot, erano presenti nel 90,1% delle aziende; tra queste, il 29,4% controllava regolarmente le autorizzazioni di accesso collegate. Il 38,6% censiva con regolarità i ruoli privilegiati.

Le difficoltà più citate erano la scarsa chiarezza delle schermate o delle opzioni, indicata dal 32,5%, e il timore di interrompere attività o integrazioni esistenti, indicato dal 31,8%. Il 10,8% menzionava il costo delle licenze di fascia superiore, come Microsoft 365 E5.

Come una sessione può essere compromessa dopo MFA

Microsoft descrive un tipo di phishing chiamato adversary-in-the-middle (AiTM), in cui un intermediario inoltra la procedura di accesso legittima e intercetta il cookie di sessione dopo che la persona ha completato l’autenticazione e MFA. Quel cookie può essere riutilizzato per accedere alla sessione senza ripetere la verifica iniziale. È un meccanismo distinto dai problemi di configurazione riferiti nel sondaggio.

Microsoft ha descritto anche una campagna distinta in cui un aggressore, dopo aver sottratto una sessione, ha aggiunto un metodo OTP basato sul telefono sfruttando controlli deboli sulle modifiche MFA. Per difendersi dagli attacchi AiTM, Microsoft indica metodi resistenti al phishing, tra cui passkey, chiavi di sicurezza FIDO2, autenticazione basata su certificati e Windows Hello for Business; raccomanda inoltre l’Accesso condizionale e controlli sulle sessioni anomale. Questi meccanismi documentati da Microsoft non identificano la causa degli incidenti segnalati nel sondaggio.

La risposta descritta da Microsoft comprende anche la revoca delle sessioni

Per la campagna che aveva analizzato, Microsoft indicava di reimpostare le credenziali, revocare le sessioni e annullare le modifiche MFA non autorizzate. Il solo cambio di password non rimuove una sessione già sottratta o un metodo di autenticazione aggiunto dall’aggressore. Microsoft descrive le azioni di risposta nella propria analisi della campagna.