Cosa accadrebbe se gli attaccanti potessero testare milioni di combinazioni di username e password aziendali senza mai far scattare un allarme? È esattamente quello che sta accadendo con lo spoofing del Client ID OAuth, una tecnica emergente identificata dai ricercatori di Proofpoint.
Il meccanismo è astuto: invece di utilizzare applicazioni OAuth legittime (come Azure AD PowerShell o Outlook) che i team di sicurezza monitorano attentamente, gli attaccanti creano identificativi di applicazioni fasulle. Falsificando questi client ID nelle richieste di autenticazione, riescono a testare credenziali aziendali in modo che le attività appaiano distribuite tra centinaia di migliaia di applicazioni diverse – in realtà tutte inesistenti.
Microsoft Entra ID risponde comunque a queste richieste con codici di errore rivelando così informazioni preziose: se un account esiste, se la password è corretta, se è attiva l’autenticazione multi-fattore. Gli attaccanti sfruttano queste risposte per mappare le credenziali aziendali senza mai completare un accesso effettivo, aggirando i sistemi di rilevamento che cercano picchi di attività su applicazioni specifiche e le policy di accesso condizionale.
Le campagne identificate
Proofpoint ha osservato due distinte campagne attive negli ultimi mesi, con modalità operative differentiche suggeriscono l’adozione indipendente della stessa tecnica da parte di gruppi diversi.
UNK_pyreq2323 (gennaio-marzo 2026)
UNK_OutFlareAZ (dicembre 2025 – marzo 2026)
Le differenze nelle infrastrutture utilizzate (AWS per la prima campagna, Cloudflare per la seconda), negli strumenti e nelle modalità di generazione degli identificativi falsificati indicano che non si tratta di attacchi isolati, ma di una tecnica che si sta diffondendo rapidamente tra diversi attori della minaccia.
Impatto per le aziende
Il rischio maggiore è che questa tecnica crea un punto cieco nella sicurezza enterprise. A differenza degli attacchi tradizionali, i cybercriminali possono validare credenziali compromesse senza mai completare un accesso. Questo significa che i team di sicurezza potrebbero rilevare e bloccare tentativi di enumerazione senza rendersi conto che, nel frattempo, credenziali valide sono già state identificate e catalogate per essere utilizzate in attacchi successivi più mirati.
È uno scenario in cui l’azienda pensa di aver respinto un attacco, mentre in realtà il malintenzionato ha già ottenuto esattamente ciò che cercava: una lista di credenziali funzionanti.
Come difendersi
È necessario adottare un approccio più granulare nell’analisi degli accessi, in particolare:
