Il Agenzia per la Cybersicurezza Nazionale ha pubblicato un comunicato tecnico su due toolkit Phishing-as-a-Service — TokenLover (precedentemente noto come TokenVault // 2026) e YaksaLover (alias Yakhub o Yaksha) — che automatizzano campagne di Business Email Compromise contro ambienti Microsoft 365. Le piattaforme, strutturate come servizi SaaS multi-tenant, abbassano la barriera all'ingresso per operatori criminali offrendo dashboard di gestione, monitoraggio campagne e metriche sugli account compromessi con livelli di abbonamento differenziati. Il dato che rende il documento rilevante oltre la cronaca: la presenza di un indicatore chiamato "password change survival rate", che misura quanto l'accesso illecito sopravviva al reset delle credenziali.
- TokenLover e YaksaLover sono due toolkit PhaaS distinti, strutturati come SaaS multi-tenant con dashboard, metriche e livelli di abbonamento per automatizzare campagne BEC contro Microsoft 365
- L'accesso iniziale avviene via abuso del Device Code Flow OAuth: la vittima inserisce un codice controllato dall'attaccante in una pagina Microsoft legittima, aggirando MFA senza che vengano rubate password testuali
- I token OAuth acquisiti aprono accesso a Exchange Online, Microsoft Graph e SharePoint; la persistenza si consolida registrando chiavi NGC (Windows Hello for Business) che sopravvivono al solo cambio password
- TokenLover integra pipeline LLM per analisi automatizzata delle email: estrazione coordinate bancarie, identificazione approvatori transazioni, modelli comunicazione aziendale e inserimento in conversazioni reali
Come funziona l'accesso: l'abuso del Device Code Flow
Il Device Code Flow è un meccanismo OAuth standard progettato per dispositivi con input limitato: la vittima riceve un codice e lo inserisce in https://microsoft.com/devicelogin per autorizzare una sessione. Il comunicato ACN documenta che i toolkit descritti sovrappongono a questo flusso una pagina di phishing che induce l'utente a completare l'autorizzazione. La sessione così generata è autenticata, MFA inclusa, perché è la vittima stessa che la autorizza.
Secondo la fonte, "la presenza dell'autenticazione a più fattori non impedisce l'attacco qualora sia la stessa vittima ad autorizzare la sessione associata al codice dispositivo". Il risultato è l'acquisizione di token OAuth validi per l'intera durata della sessione, non un furto di credenziali testuali. I token permettono accesso a Exchange Online, Microsoft Graph, SharePoint e ai servizi collegati all'identità compromessa.
La persistenza che sopravvive al reset: chiavi NGC e Windows Hello
Il comunicato descrive una seconda funzionalità che trasforma il furto token in compromissione di lunga durata: la registrazione di chiavi NGC (Next Generation Credentials, componente di Windows Hello for Business) sull'account compromesso. L'attaccante associa al tenant un nuovo metodo di autenticazione o dispositivo controllato.
Questo meccanismo ha una conseguenza operativa netta. Secondo il documento citato, "il solo cambio della password potrebbe non essere sufficiente a interrompere l'accesso abusivo". Le dashboard dei toolkit misurano esplicitamente questa capacità con la metrica "password change survival rate": la percentuale di account che rimangono accessibili dopo che la vittima ha eseguito un reset credenziali. Il dato funge da KPI di efficacia del servizio criminale e da indicatore di inefficacia delle contromisure convenzionali.
"Le piattaforme TokenLover e YaksaLover sono strutturate come servizi SaaS multi-tenant e mettono a disposizione degli operatori dashboard di gestione, funzionalità di monitoraggio delle campagne, metriche relative agli account compromessi e differenti livelli di accesso o abbonamento." — Comunicato ACN
L'automazione LLM: quando l'intelligenza artificiale analizza le email per frodi finanziarie
TokenLover dispone di una pipeline LLM che processa automaticamente il contenuto delle caselle compromesse. Il comunicato documenta tre funzioni specifiche: estrazione di coordinate bancarie dalle comunicazioni, identificazione degli approvatori di transazioni, e ricostruzione dei modelli comunicazione aziendale per inserire messaggi fraudolenti in conversazioni esistenti.
L'analisi automatizzata ricostruisce flussi finanziari in corso e genera email fraudolente con timing, tono e riferimenti coerenti con la conversazione reale. I messaggi possono essere inviati direttamente dalle caselle Microsoft 365 compromesse, attraverso infrastruttura legittima che "potrebbero non essere sufficienti" a bloccare i controlli SPF/DKIM — secondo la formulazione cauta del comunicato.
Cosa fare adesso
Il comunicato ACN non elenca contromisure operative dettagliate, ma le tecniche documentate indicano azioni specifiche per gli amministratori di tenant Microsoft 365. La verifica dei dispositivi e metodi di autenticazione registrati sugli account sensibili è prioritaria: la presenza di chiavi NGC non riconducibili a dispositivi aziendali noti segnala la persistenza descritta nella metrica "password change survival rate".
Il monitoraggio delle sessioni OAuth attive e delle autorizzazioni delegate ai dispositivi rientra nel perimetro di controllo. Il Device Code Flow, pur essendo un meccanismo legittimo, genera sessioni autenticate che appaiono valide ai sistemi di logging standard: la correlazione tra richieste da IP geografici anomali e autorizzazioni utente diventa rilevante per identificare abusi.
La pipeline LLM di TokenLover ricostruisce modelli comunicazione aziendale da email storiche. La segmentazione degli accessi alle caselle di approvatori finanziari e l'analisi di anomalie nel tono o nel timing dei messaggi in uscita rappresentano controlli coerenti con il vettore documentato. Il comunicato sottolinea che le tecniche descritte "non risultano associati allo sfruttamento di nuove vulnerabilità zero-day": si tratta di assemblaggio e automazione di vettori noti, non di ricerca di exploit originale.
Domande frequenti
Il cambio password è sufficiente a rimuovere la compromissione?
No. Secondo il comunicato citato, il solo cambio password non interrompe l'accesso se l'attaccante ha registrato chiavi NGC o altri metodi di autenticazione persistenti. La metrica "password change survival rate" è esplicitamente progettata per misurare questa resistenza.
Il MFA blocca questo attacco?
Il comunicato documenta che la presenza di autenticazione multi-fattore "non impedisce l'attacco qualora sia la stessa vittima ad autorizzare la sessione associata al codice dispositivo". Il MFA tradizionale non è controindicante per il vettore descritto.
Esiste una CVE associata a queste tecniche?
Il dossier non riporta CVE associate. Le tecniche descritte — abuso Device Code Flow, furto token, registrazione NGC — sono documentate come funzionalità integrate nei toolkit, non come sfruttamento di vulnerabilità zero-day.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.acn.gov.it/portale/w/tokenlover-e-yaksalover-nuovi-kit-phaas-automatizzano-le-frodi-bec-ai-danni-di-ambienti-microsoft-365
- https://microsoft.com/devicelogin
- https://www.acn.gov.it/portale/en/csirt-italia/alert-e-bollettini
- https://www.acn.gov.it/portale/pnrr
- https://www.acn.gov.it/portale/en/csirt-italia/chi-siamo
- https://www.acn.gov.it/portale/en/csirt-italia/pubblicazioni
- https://www.acn.gov.it/portale/en/csirt-italia/la-settimana-cibernetica