Scenari di aggiramento dell'accesso condizionale: comprendere e prevenire le moderne minacce all'identità

By Mirko Peters · 2026-04-26

L'accesso condizionale è la prima linea di difesa per gestire chi può entrare nel tuo ambiente Microsoft 365 o Azure e in quali circostanze. Ogni volta che qualcuno…

Automatically translated with AI from the original post. Read the English original

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

L'accesso condizionale è la prima linea di difesa per gestire chi può entrare nel tuo ambiente Microsoft 365 o Azure e in quali circostanze. Ogni volta che qualcuno effettua l'accesso o tenta di raggiungere delle risorse, i criteri di accesso condizionale decidono se farlo entrare, chiedergli una verifica aggiuntiva o bloccarlo. Questa guida ti offre un'anteprima di come gli attaccanti reali aggirano questi criteri, a volte in modi che non ti aspetteresti.

Vedremo l'intero panorama delle minacce, inclusi gli errori di configurazione più comuni, i trucchi più furbi degli attaccanti e tecniche avanzate come gli exploit sull'identità ibrida. Non ci limitiamo alla teoria: troverai anche consigli pratici per il rilevamento e la difesa. Se sei responsabile dell'identità cloud, questo articolo ti mostrerà dove di solito si aprono le falle e come chiuderle prima che qualcuno riesca a passare.

Introduzione ai rischi di aggiramento dell'accesso condizionale e al panorama delle minacce

L'accesso condizionale è il principale meccanismo di controllo di Microsoft che protegge le identità cloud e i dati aziendali sensibili. Alla base, ti permette di creare regole, cioè criteri, che definiscono chi può connettersi, da dove, su quali dispositivi e con quale tipo di verifica di sicurezza (come MFA o hardware conforme).

L'obiettivo di fondo è semplice: solo le persone giuste, nelle circostanze giuste, devono ottenere l'accesso. Ma anche gli attaccanti lo sanno. Gli aggiramenti dell'accesso condizionale si verificano quando qualcuno trova il modo di eludere questi criteri. A volte si tratta di una falla tecnica, altre volte di una decisione rischiosa, come escludere risorse critiche dai controlli.

Questi rischi non sono solo teorici. Gli attaccanti cercano attivamente esclusioni trascurate, criteri configurati male e relazioni di trust tra identità da sfruttare. Nel mondo di Microsoft Entra ID (in precedenza Azure AD), l'aggiramento dell'accesso può portare a violazioni, fughe di dati e backdoor persistenti se non blindi tutto con attenzione.

Individuare e chiudere questi percorsi di aggiramento è più importante che mai. Non ti stai difendendo solo dagli attacchi per indovinare le password, ma anche da avversari che sfruttano le relazioni di trust della federazione, i servizi legacy e le lacune tra on-premises e cloud. Comprendere il panorama attuale dei rischi ti aiuterà a far sì che il tuo accesso condizionale resti davvero condizionale e che le tue difese restino un passo avanti.

Come gli attaccanti ottengono le credenziali e sfruttano l'attività dannosa nel browser

Phishing e ingegneria sociale: gli attaccanti spesso iniziano con semplici email di phishing o pagine di accesso false per rubare le credenziali di un utente. Che si tratti di un messaggio ben costruito o di un generico link «Reimposta la password», il phishing resta il modo più semplice per entrare.
Password spray e attacchi di forza bruta: a volte i malintenzionati provano password comuni su molti account, sperando in un anello debole. Questo metodo controlla molti account con pochi tentativi ciascuno, per evitare i blocchi e passare inosservato.
Furto di sessione tramite browser dannosi: gli attaccanti più avanzati infettano il browser dell'utente con estensioni o malware. Una volta insediati, osservano le sessioni di autenticazione e sottraggono i token di sicurezza direttamente dal browser. In questo modo possono aggirare MFA e accesso condizionale, apparendo al back-end di Microsoft come l'utente legittimo.
Furto di token e consent phishing: invece delle tradizionali password, alcune campagne usano OAuth consent phishing per indurre l'utente ad autorizzare un'app malevola. Queste app raccolgono i token di concessione delle autorizzazioni, che spesso eludono l'accesso condizionale e MFA, dando agli attaccanti un accesso persistente senza bisogno della tua password.
Abuso delle relazioni di trust: sfruttare l'accesso degli ospiti, la collaborazione B2B o le vecchie configurazioni di identità federata conferisce agli attaccanti una legittimità immediata. Se i tuoi criteri non coprono in modo approfondito gli utenti ospiti, gli attaccanti possono sfruttare queste presunzioni di fiducia per superare il tuo varco di accesso.
Credential Stuffing da fughe di dati: riutilizzando nomi utente e password provenienti da violazioni precedenti, gli autori delle minacce li provano sugli accessi cloud di Microsoft, contando sul riuso delle password. Se si aggiunge un'architettura di accesso condizionale poco curata, questo metodo diventa pericoloso in fretta.

Gli attaccanti combinano questi metodi per massimizzare le probabilità di successo. Un account amministratore compromesso con phishing, unito al furto di token dal browser, può significare l'aggiramento completo dell'accesso condizionale, soprattutto negli ambienti in cui si sono accumulate eccezioni, criteri legacy o troppa fiducia.

Configurazioni errate comuni che consentono l'aggiramento dell'accesso condizionale

I criteri di accesso condizionale sono forti solo quanto la loro configurazione più debole. La tecnologia è solida, ma c'è un grande divario tra progettare regole impeccabili e mantenerle tali nel tempo. La maggior parte degli scenari di aggiramento non nasce da uno zero-day sofisticato, ma da una configurazione errata banale, da un ambito trascurato o da un deriva dei dispositivi.

Molti ambienti sviluppano falle nel tempo. I criteri ricevono eccezioni, i gruppi legacy restano esclusi dai requisiti di MFA, oppure si presume che i dispositivi siano gestiti senza che in realtà vengano verificati regolarmente. Gli attaccanti prosperano in queste zone ambigue, infiltrandosi dove l'applicazione non è coerente.

Alcune delle situazioni più rischiose derivano dall'esentare "temporaneamente" troppi account, app o dispositivi dai controlli, e poi dimenticarsi di chiudere le falle. C'è inoltre un pericolo nel dare per scontato che conformità del dispositivo significhi sicurezza del dispositivo. I dispositivi non gestiti o registrati in modo errato possono diventare cavalli di Troia, aggirando silenziosamente le regole dall'interno.

Per capire come si aprono queste falle e perché gli attaccanti le sfruttano volentieri, vale la pena esaminare gli errori più comuni in materia di ambito dei criteri, esclusioni, applicazione di MFA e gestione dei dispositivi. Per approfondire come individuare le lacune di sicurezza invisibili, consulta questo approfondimento su problemi di fiducia e deriva dei criteri. Le sezioni successive analizzano nel dettaglio questi errori ricorrenti e ciò che li rende così appetibili per i malintenzionati.

Errori di configurazione di MFA e rischi di aggiramento dell'ambito

Esclusioni dei criteri troppo ampie: account, gruppi o applicazioni esclusi dall'applicazione di MFA creano falle silenziose. Gli attaccanti sanno di dover puntare su queste eccezioni, che spesso passano inosservate durante gli audit.
Applicazione di MFA non uniforme: i criteri limitati a determinate app, piattaforme o posizioni di accesso non coprono gli utenti che operano al di fuori di tali limiti. Gli attaccanti sfruttano queste configurazioni rigide per ottenere l'accesso senza far comparire una richiesta di MFA.
Autenticazione legacy lasciata attiva: i vecchi protocolli (come IMAP, POP o SMTP) possono eludere l'accesso condizionale moderno, consentendo agli attaccanti di connettersi con la sola password. Questi endpoint attirano continui tentativi di attacco a forza bruta.
Account di emergenza o bypass temporanei: gli account amministrativi "break glass" o le esclusioni temporanee vengono spesso dimenticati una volta superata l'emergenza. Questi account diventano bersagli di alto valore finché non vengono di nuovo protetti in modo adeguato.

Per soluzioni pratiche che chiudono queste falle senza compromettere l'esperienza utente, consulta le best practice illustrate in questa guida sulla sicurezza di M365.

Vulnerabilità di conformità e registrazione dei dispositivi negli scenari di aggiramento

Dispositivi non registrati: i dispositivi non registrati in Intune o nel portale aziendale possono spesso eludere i controlli di accesso basati sul dispositivo, esponendo sistemi sensibili.
Deriva della conformità: anche i dispositivi registrati possono uscire dalla conformità con i criteri, ad esempio per antivirus, patch o crittografia non aggiornati, ma continuare a essere considerati "sicuri" da criteri obsoleti.
Aggiramento della registrazione dei dispositivi: gli attaccanti trovano modi creativi per falsificare o eludere la registrazione dei dispositivi, soprattutto quando i vecchi metodi restano abilitati. Le configurazioni ibride o un'implementazione incompleta di Intune ampliano la superficie d'attacco.
Mancanza di monitoraggio continuo: i criteri che verificano la conformità solo all'accesso, e non dinamicamente durante la sessione, lasciano spazio a modifiche e compromissioni dopo che l'accesso è stato concesso. Per saperne di più sulla postura di conformità in tempo reale, consulta questa risorsa su Defender for Cloud.

Tecniche documentate ed emergenti di bypass dell'accesso condizionale nel mondo reale

Il bypass dei criteri di accesso condizionale non è solo una preoccupazione teorica: ricercatori di sicurezza e attaccanti reali stanno testando questi sistemi in produzione ogni giorno. Alcuni metodi sono documentati in dettaglio, mentre altri emergono con l'introduzione di nuove funzionalità o con la crescita della complessità degli ambienti cloud.

Due delle categorie più pericolose sono le esclusioni di risorse o servizi e gli abusi dei flussi di autenticazione. Le esclusioni, che riguardino protocolli legacy, API cloud o app poco visibili, possono involontariamente diventare chiavi universali per gli attaccanti, aggirando completamente i criteri più solidi. Allo stesso tempo, le debolezze nei flussi di autenticazione, come il consenso OAuth o i codici di autorizzazione gestiti male, permettono agli avversari di infiltrarsi senza passare da ogni controllo.

Il panorama cambia continuamente, perché Microsoft aggiorna le funzionalità e gli attaccanti trovano nuove falle creative. Restare aggiornati sugli exploit classici e su quelli più recenti è fondamentale per mantenere una difesa che non sia solo valida sulla carta, ma che regga anche in condizioni reali. Vediamo insieme alcune delle strategie più significative che dovresti riconoscere e contrastare.

Bypass tramite esclusione di risorse e metodi pubblici noti

Esclusioni degli endpoint di autenticazione legacy: lasciare fuori dall'accesso condizionale endpoint come POP3, IMAP o SMTP AUTH offre agli attaccanti bersagli ideali. Questi servizi meno recenti spesso ignorano l'MFA, consentendo di tentare attacchi di forza bruta sulle password senza far scattare le protezioni moderne.
Esclusioni di Graph API e app: l'accesso condizionale spesso si concentra sulle principali app utente, ma a volte API di backend critiche (come Graph API) vengono escluse senza che ce ne si accorga. Gli attaccanti sfruttano queste lacune per raccogliere dati o aumentare i privilegi. Puoi approfondire gli attacchi basati sul consenso alle API qui.
Account di servizio non interattivi: gli account di sistema o di automazione esclusi in blocco dall'accesso condizionale creano punti di accesso di tipo backdoor, spesso aggirando del tutto l'MFA e i controlli sul dispositivo.

Rivedere regolarmente le esclusioni dei criteri e ridurre al minimo le eccezioni è uno dei modi più rapidi per chiudere queste falle di rischio già note.

Abuso dei flussi di autenticazione e acquisizione dei codici di autorizzazione

Sfruttamento della concessione di consenso OAuth2: gli attaccanti usano il phishing per indurre gli utenti a concedere autorizzazioni ad app malevole tramite i flussi di consenso OAuth, spesso senza incontrare l'accesso condizionale o l'MFA. L'accesso persistente sopravvive ai reset delle credenziali. Per saperne di più, leggi questo approfondimento sull'attacco di consenso.
Replay dei codici di autorizzazione: catturando o intercettando i codici di autorizzazione OAuth, gli avversari possono ottenere token di accesso al di fuori del flusso monitorato, aggirando le decisioni dell'accesso condizionale al momento del rilascio.
Riutilizzo dei token e attacchi di replay: i token sottratti da browser compromessi o da applicazioni progettate male possono essere riutilizzati, soprattutto se la loro durata è eccessiva, consentendo l'accesso senza nuova autenticazione né controlli.

Comprendere questi flussi mantiene solide le difese in ogni passaggio, non solo nelle schermate di accesso o di consenso.

Bypass avanzato dell'accesso condizionale: estensioni del browser e rischi negli ambienti ibridi

Ora entriamo nel territorio degli attacchi più sofisticati. Man mano che i controlli di accesso al cloud diventano più rigorosi, si affinano anche le tecniche degli avversari. Pensa alle estensioni del browser che sottraggono silenziosamente i token o agli attaccanti che sfruttano le giunture tra Active Directory locale e Microsoft Entra ID basato sul cloud.

Gli attaccanti moderni non si limitano più a indovinare le password: sfruttano scenari in cui il contesto di dispositivo, identità e sessione non viene applicato in modo coordinato. Plugin del browser non monitorati possono trafugare token di accesso senza essere rilevati, mentre gli ambienti ibridi introducono lacune nell'applicazione dei criteri, soprattutto se sono presenti ADFS o configurazioni di federazione legacy.

Negli scenari cross-platform e ibridi, gli attaccanti hanno più varchi da sfruttare: impostazioni di join o sincronizzazione deboli, compliance dei dispositivi incompleta o catene di attendibilità non protette in modo uniforme. Proteggere la tua organizzazione in questo contesto va oltre la modifica di una singola impostazione: serve una mentalità zero-trust complessiva, consapevoli che i confini di identità e sessione possono essere sfumati da attacchi sofisticati e reali. Ora vediamo come si sviluppano questi rischi e cosa i team di sicurezza devono riconoscere (e bloccare rapidamente) nei propri ambienti.

Estensioni del browser dannose ed esecuzione dell'accesso senza interruzioni

Furto di token tramite estensioni: le estensioni del browser dannose acquisiscono cookie di autenticazione o token OAuth mentre l'utente accede, consentendo agli attaccanti di riutilizzare sessioni valide da qualsiasi posizione.
Bypass silenzioso dell'MFA: le estensioni operano dopo che l'utente ha completato l'MFA, quindi gli attaccanti ereditano una sessione "pre-approvata", aggirando tutti i criteri di accesso condizionale e spesso senza essere rilevati.
Chiamate API automatiche: alcuni malware usano le estensioni per automatizzare azioni direttamente nel browser, esfiltrando dati o inoltrando e-mail senza mai dover attivare i normali controlli di accesso.
Difficoltà di rilevamento: questi attacchi sono difficili da individuare con i log tradizionali, perché tutto appare come normale attività dell'utente su un dispositivo conforme.

Tecniche di bypass di identità ibrida e Global Secure Access

Sfruttamento del bridge ADFS: la federazione legacy, come ADFS, a volte non applica gli aggiornamenti dei criteri cloud. Gli attaccanti che passano attraverso il bridge potrebbero eludere i criteri di accesso condizionale applicabili, soprattutto se le regole sui token non sono sincronizzate in modo rigoroso.
Catene di attendibilità B2B e cross-tenant: utenti esterni o partner invitati tramite Azure AD B2B potrebbero aggirare criteri più restrittivi se gli account ospiti o federati non sono soggetti allo stesso standard. Gli attaccanti sfruttano queste relazioni "attendibili" per il movimento laterale.
Bypass con dispositivi non gestiti: negli ambienti ibridi, lacune nella registrazione dei dispositivi, deriva della conformità di Intune o presunzioni di sistema operativo "attendibile" possono creare percorsi che consentono ai endpoint non gestiti di passare inosservati.
Problemi di attendibilità dei dispositivi cross-platform: i criteri che verificano solo la conformità di Windows potrebbero, involontariamente, dare il via libera agli accessi provenienti da macOS, dispositivi mobili o ambienti misti, ognuno con le proprie particolarità e vulnerabilità. Per un approfondimento su come ottenere una protezione zero-trust unificata, consulta questa risorsa su Zero Trust by Design.

Strategie di rilevamento, mitigazione e risoluzione per gli attacchi di bypass

Conoscere le minacce è metà della battaglia. L'altra metà? Costruire e mantenere difese solide che individuano, bloccano e rispondono ai tentativi di bypass, possibilmente molto prima che gli attaccanti raggiungano i dati sensibili. Non si tratta solo di attivare un'impostazione: serve una vigilanza costante e una gestione disciplinata dei criteri.

Un rilevamento efficace si basa sulla combinazione di analisi di sicurezza, log dettagliati e una chiara comprensione di come dovrebbe apparire il traffico nella tua organizzazione. Integrare strumenti SIEM, sfruttare le funzionalità native di Microsoft 365 e mappare le tecniche secondo framework come MITRE ATT&CK può aiutarti a individuare tattiche nuove e in evoluzione prima che causino danni.

Sul fronte della mitigazione, le organizzazioni hanno bisogno di un approccio dinamico al rafforzamento dei criteri: revisione periodica di ambiti, esclusioni e requisiti di attendibilità dei dispositivi, con automazione dove possibile per eliminare i controlli manuali più noiosi. La risoluzione non consiste nel correggere una volta sola, ma nel predisporre controlli che segnalino e valutino le modifiche rischiose prima che diventino punti deboli per gli attaccanti.

Le sezioni seguenti ti forniranno checklist pratiche e strategie di threat hunting, così che i tuoi controlli di accesso condizionale non siano solo solidi oggi, ma restino resilienti anche di fronte alle minacce di domani.

Mitigazione, rafforzamento dei criteri e protezione dei dati sensibili

Verifiche periodiche dei criteri: pianifica revisioni frequenti di ambiti ed esclusioni dei criteri di accesso condizionale. Individua le regole legacy e le eccezioni troppo ampie che si sono accumulate nel tempo.
Imponi un'MFA coerente: non accontentarti di un'implementazione parziale. Applica l'autenticazione a più fattori ovunque sia supportata, soprattutto per gli account amministrativi e per le integrazioni di terze parti.
Riduci al minimo e monitora le eccezioni: ogni esclusione (utente, app, dispositivo) dovrebbe essere ridotta al minimo, limitata nel tempo e monitorata attivamente per individuare abusi o derive. «Imposta e dimentica» qui non funziona.
Dai priorità alla conformità dei dispositivi: concedi l'accesso solo ai dispositivi che rispettano gli standard di conformità attuali. Usa strumenti automatizzati di verifica della conformità per mantenere aggiornata la postura di sicurezza e non affidarti solo alla registrazione iniziale.
Criteri di prevenzione della perdita di dati (DLP): stratifica i controlli di accesso con strategie DLP ben governate per limitare l'esposizione di informazioni sensibili, soprattutto negli ambienti predefiniti o collaborativi.
Bilancia sicurezza e usabilità: evita gli estremi. Punta a un «privilegio minimo» costante e a rollout dei criteri graduali e adattivi; per consigli pratici di pianificazione, consulta questa discussione su libertà dell'utente contro zero trust.

Threat hunting e rilevamento con Graph API e copertura di MITRE ATT&CK

Sfrutta i log di Microsoft Graph API: usa Graph API per recuperare i log di autenticazione, consenso e valutazione dei criteri, per l'analisi proattiva e per individuare eventi anomali o aggirati.
Integrazione con SIEM (Microsoft Sentinel, Splunk, ecc.): invia i log di identità, autenticazione e accesso condizionale al tuo SIEM per la correlazione, gli avvisi e l'analisi forense.
Mappa le tattiche MITRE ATT&CK: allinea le regole di rilevamento e le query di monitoraggio al framework MITRE, coprendo tecniche come accesso iniziale, furto di token e movimento laterale, per un piano di risposta strutturato.
Controlla l'attività degli utenti con Purview: Microsoft Purview Audit offre il monitoraggio delle attività degli utenti a livello di tenant. Se gestisci dati regolamentati o ad alto rischio, passa ai livelli premium per una conservazione più lunga e segnali più ricchi.

Ulteriori approfondimenti, letture e tabella dei metodi di bypass documentati

Restare al passo con le tecniche di bypass richiede aggiornamento continuo e test sul campo. La documentazione ufficiale di Microsoft è una buona base, ma feed di threat intelligence, blog di sicurezza e ricerche pubbliche scoprono continuamente nuovi percorsi di bypass. Per una panoramica sulle sfide di fiducia e deriva dei criteri, consulta questo approfondimento sulle esclusioni troppo ampie e le derive nascoste.

Ecco una tabella rapida che riassume alcuni dei bypass più diffusi osservati in natura, con fonti per approfondire:

Abuso della concessione di consenso OAuth: gli attaccanti ottengono persistenza tramite l'autorizzazione di app malevole. (Scopri come funziona)
Lacune dell'autenticazione legacy: IMAP/POP esclusi portano a un bypass di MFA e al rischio di password spray.
Sfruttamento della fiducia B2B/cross-tenant: un disallineamento dei criteri per gli utenti guest apre nuovi rischi di movimento laterale.
Replay di token ADFS/ibrido: ion on-premises o sincronizzazione cloud configurata in modo errato possono creare derive di applicazione dei criteri.

Per approfondimenti e per la formazione professionale continua, segui i blog di sicurezza di Microsoft, i report sugli incidenti e le pubblicazioni di ricerca che documentano nuovi percorsi di bypass man mano che il panorama delle minacce evolve.

Conclusioni e indicazioni strategiche per la difesa dal bypass dell'accesso condizionale

Restare un passo avanti al bypass dell'accesso condizionale non dipende da un singolo criterio o impostazione, ma da mentalità, attenzione e disciplina. Gli attaccanti innovano continuamente, cercando la prossima eccezione dimenticata o la catena di fiducia non controllata.

La difesa migliore si basa sulla difesa in profondità. Significa stratificare i controlli di accesso, non affidarsi mai a un solo fattore e rivedere regolarmente l'ambito dei criteri e la postura dei dispositivi. Criteri adattivi, monitoraggio solido e una risposta rapida alle nuove minacce mantengono l'ambiente resiliente man mano che cambiano i metodi di attacco.

Rivedi spesso le tue strategie, chiudi tempestivamente le esclusioni «temporanee» e tieni d'occhio nuove ricerche e linee guida. Trattando l'accesso condizionale come un livello di sicurezza vivo, degno di manutenzione periodica, puoi opporre veri ostacoli agli attaccanti, non semplici dossi.