La truffa che ruba il tuo account Microsoft senza password ne malware: ConsentFix
I ricercatori di sicurezza hanno passato l'inizio di luglio 2026 a mettere in guardia su un nuovo, astuto attacco chiamato ConsentFix. Cio che lo rende allarmante e cio di cui non ha bisogno: si impossessa di un account Microsoft 365 senza che tu digiti una password, senza installare alcun malware e senza far scattare la tua autenticazione a due fattori. Alcuni resoconti descrivono l'account passato di mano in appena tre secondi.
Ecco la mossa su cui si basa. Ricevi un'email - spesso con un link ospitato su un servizio affidabile come Dropbox - che porta a quella che sembra una normale pagina di accesso Microsoft. Per "completare l'accesso", ti chiede di trascinare un link nella barra degli indirizzi del browser (oppure di copiarlo e incollarlo li). Quel link consegna silenziosamente all'aggressore il tuo token di sessione attivo - il lasciapassare digitale che dimostra che hai gia effettuato l'accesso - cosi entra direttamente nella tua email, in OneDrive e nei tuoi file senza mai aver bisogno della tua password o del tuo codice 2FA.
La regola che ti tiene al sicuro: un vero accesso non ti chiede mai di trascinare, copiare o incollare un link nella barra degli indirizzi per "completarlo" - proprio come un vero aggiornamento non ti chiede mai di incollare un comando in Esegui (la truffa correlata ClickFix). Se una pagina te lo chiede, chiudi la scheda. Vale anche la pena accedere su account.microsoft.com e, sotto Sicurezza, controllare quali app hanno accesso al tuo account - rimuovi tutto cio che non riconosci, e cambia la password se pensi di essere stato colpito.
ConsentFix funziona ingannando te, quindi nessuna app puo bloccarlo del tutto - conoscere l'unico segnale rivelatore e la vera difesa. Ma il controllo Privacy e account di Tendvane mostra come sono configurati i tuoi account di accesso cosi puoi individuare qualcosa fuori posto, e se un link truffaldino ha portato all'installazione di qualcosa, il suo Controllo di sicurezza fa emergere programmi di avvio ed estensioni del browser inattesi.