Accetti l’invito alla riunione e un virus s’impossessa del PC: come funziona la nuova truffa su Microsoft

Una mail contiene l'invito a una riunione o la segnalazione di un aggiornamento di Teams. Il messaggio sembra affidabile e presenta anche una certificazione che garantisce la sicurezza del contenuto. Quando però la vittima apre il link allegato, un malware s'introduce nel computer e ne prende il controllo, cancellando ogni traccia del suo passaggio per rendersi invisibile ai sistemi di sicurezza.

È questa la nuova truffa di phishing individuata negli ultimi dal team di cybersecurity di Microsoft. Gli attacchi, osservati a partire da febbraio 2026, sfruttano le dinamiche da ufficio e il nome di software molto comuni negli ambienti lavorativi per abbassare le difese delle vittime e introdursi nei sistemi delle aziende.

Come funziona la truffa: l'inganno via mail

Come spiega la nota di Microsoft, uno dei meccanismi più utilizzati nella campagna riguarda un messaggio che annuncia aggiornamenti urgenti di applicazioni molto diffuse negli uffici, come Teams, Zoom o Adobe Acrobat Reader. In alcuni casi l'utente riceve via mail anche un allegato PDF. Quando il documento viene aperto, compare una schermata sfocata che simula un file protetto.

Un pulsante invita ad aprire il documento in Adobe. Cliccandolo, però, si viene reindirizzati a una pagina web contraffatta che imita il sito ufficiale di download di Adobe. Qui compare un messaggio che segnala una versione del software non aggiornata e avvia automaticamente il download di un presunto aggiornamento. Il file sembra sicuro, ma in realtà si tratta di un invasore abilmente camuffato.

Uno degli aspetti più sofisticati dell'attacco è l'uso di certificati digitali apparentemente validi. I file malevoli risultano infatti firmati con un certificato Extended Validation che risulta intestato a una società dal nome TrustConnect Software PTY LTD. Questo tipo di certificato è normalmente associato a software verificati e affidabili. La presenza di questo elemento aumenta la reputazione del file agli occhi dei sistemi di sicurezza e riduce i sospetti degli utenti, facilitando così l'installazione del programma.

Come il malware prende il controllo del computer

Una volta eseguito il file scaricato, il malware copia se stesso nella cartella dei programmi del sistema operativo per sembrare un'applicazione normale. Successivamente si registra come servizio di Windows e crea una chiave nel registro di sistema per avviarsi automaticamente ogni volta che il computer viene acceso. A questo punto il programma stabilisce una connessione con i server controllati dagli aggressori e avvia comandi automatici per scaricare altri strumenti.

La fase successiva dell'attacco prevede l'installazione di software di monitoraggio remoto utilizzati normalmente dalle aziende per gestire i computer dei dipendenti (come ScreenConnect, Tactical RMM e MeshAgent). Proprio perché si tratta di programmi del tutto legali, il traffico generato dal malware può passare inosservato nei sistemi di sicurezza. Grazie a questa porta nascosta, gli intrusi possono così muoversi indisturbati all'interno della rete aziendale. Per rendere l'intrusione più difficile da individuare, gli attaccanti installano spesso più strumenti di gestione remota contemporaneamente. In questo modo, anche se uno di essi viene scoperto e rimosso, gli altri continuano a garantire l'accesso al sistema.

Come difendersi: la raccomandazione degli esperti

Secondo gli analisti di sicurezza Microsoft, il successo di queste campagne si basa soprattutto sulla familiarità degli strumenti imitati e sull'urgenza indotta nei messaggi. Aggiornamenti di software, inviti a riunioni o documenti di lavoro sono elementi che fanno parte della routine quotidiana di molti utenti.

Per questo motivo, gli esperti invitano a utilizzare i programmi di difesa offerti dal sistema Windows (come Defender Application Control) e a prestare la massima attenzione a link e allegati ricevuti via email, verificando sempre l'origine dei messaggi e scaricando aggiornamenti solo dai siti ufficiali dei produttori di software. Anche i più piccoli segnali di anomalia possono essere un indizio determinante per salvarsi da una truffa informatica molto sofisticata.