La finta pagina di accesso non è mai stata su Internet. L'ha costruita il vostro browser.
Quasi tutti i consigli contro il phishing presuppongono che da qualche parte, su un server, ci sia una pagina web cattiva. Blocchi l'indirizzo e la truffa smette di funzionare. Una ricerca pubblicata da Barracuda il 9 settembre smonta in silenzio quel presupposto.
La email ha l'aspetto di Docusign, con un invito di calendario allegato. L'invito non fa assolutamente nulla: sta lì perché il messaggio sembri normale posta di lavoro. Fate clic e finite su Microsoft Teams, un servizio Microsoft vero a un indirizzo Microsoft vero, che poi carica contenuti da un host esterno chiamato cdn.bloom[.]io. Il vostro browser prende quel contenuto e lo trasforma in un blob URL: una pagina assemblata a partire da dati già in memoria, che esiste solo dentro la vostra copia di Chrome o di Edge. Il finto modulo di accesso viene costruito sulla vostra macchina. Non c'è nessuna pagina che uno scanner possa scaricare, nessun dominio da mettere in lista nera e nulla che rimanga una volta chiusa la scheda. Sotto, service worker e frame nascosti riportano le informazioni perché gli operatori possano guidare ogni vittima da un unico punto.
La tecnica non è nuovissima. Barracuda aveva documentato il phishing basato su blob già nel 2024 contro i clienti di Capital One e Chase e contro quelli di Air Canada. La novità è il passaggio da Teams, che rende autenticamente Microsoft i primi tratti del percorso.
Un indizio sopravvive a tutto questo. Quando compare una pagina di accesso, leggete la barra degli indirizzi. Un accesso Microsoft vero sta su login.microsoftonline.com. Un blob URL comincia con blob: seguito da una lunga sequenza senza senso. Se lo vedete sopra qualcosa che chiede una password, chiudete la scheda. Meglio ancora: non accedete mai da un link, aprite una scheda nuova e digitate l'indirizzo voi stessi. Il controllo di privacy e account di Tendvane mostra a quali account il vostro PC è collegato e come ciascuno è protetto, ed è esattamente l'elenco che volete davanti nel momento in cui sospettate che una password sia finita dove non doveva.