HookedWing: la campagna di phishing che imita Google, Microsoft e GitHub

A maggio 2026, i ricercatori di threat intelligence hanno identificato e denominato un'operazione strutturata di phishing chiamata HookedWing, e ciò che la distingue dalle campagne precedenti non è solo la sofisticazione visiva delle pagine false, ma la precisione chirurgica con cui mira agli strumenti che le piccole e medie imprese usano quotidianamente: Google Workspace, Microsoft 365 e GitHub.

Non si tratta di email con errori linguistici o loghi sgranati. Le pagine di login clonate dalla HookedWing riproducono fedelmente i flussi di autenticazione originali, inclusi reindirizzamenti intermedi, animazioni di caricamento e perfino messaggi di errore contestuali che simulano il comportamento reale delle piattaforme. L'obiettivo è duplice: raccogliere credenziali e, in molti casi, sequestrare token di sessione attivi tramite tecniche di adversary-in-the-middle (AiTM), rendendo l'MFA tradizionale basato su SMS o TOTP insufficiente come barriera.

Come la HookedWing opera nella pratica

La catena d'attacco inizia, quasi invariabilmente, tramite email o messaggio diretto su piattaforme di collaborazione come Slack o Teams. Il pretesto varia, un falso avviso di sicurezza di Google, una notifica di pull request su GitHub, un avviso di scadenza di licenza di Microsoft 365. Il link incorporato punta a un dominio registrato poche ore prima dell'invio, spesso usando variazioni tipografiche sottili (es.: microsoft-sécurity[.]com, githüb[.]io) che sfuggono a una lettura veloce sul cellulare.

Cliccando, la vittima è condotta attraverso una catena di reindirizzamenti che aggira i filtri di reputazione degli URL, servizi legittimi come Google Redirects o accorciatori affidabili sono usati come trampolini intermedi. Il proxy inverso configurato dagli operatori di HookedWing cattura sia le credenziali inserite sia i cookie di sessione emessi dal provider legittimo, consegnando all'attaccante accesso immediato all'account, anche se la vittima ha abilitato l'autenticazione a due fattori tramite app autenticatore.

Perché l'MFA convenzionale non è sufficiente qui

Questo è il punto che più preoccupa i team di sicurezza nelle aziende di medie dimensioni, la percezione che "attivare il 2FA" risolva il problema. Nel modello AiTM usato da HookedWing, il proxy non deve violare il secondo fattore, lo ritrasmette in tempo reale al servizio legittimo e cattura il cookie di sessione risultante. Il risultato pratico è che account protetti con TOTP (Google Authenticator, Authy) o SMS sono vulnerabili quanto account senza alcun fattore aggiuntivo.

L'unica categoria di MFA che resiste a questo vettore è la autenticazione basata su FIDO2/WebAuthn, chiavi di sicurezza fisiche (YubiKey, Google Titan) o passkey legate al dispositivo. In questi casi, la chiave crittografica è vincolata al dominio legittimo durante la registrazione; quando il proxy tenta di replicare il flusso su un dominio differente, l'autenticazione semplicemente fallisce, senza che la vittima debba identificare nulla di sospetto.

Cosa cambia per le PMI italiane

Il mercato delle piccole e medie imprese ha una caratteristica che lo rende un obiettivo preferenziale per campagne come HookedWing: altissima adozione di Google Workspace e Microsoft 365 combinata con una maturità di sicurezza ancora disomogenea. Molte aziende hanno attivato l'MFA sotto pressione di assicurazioni o audit, ma si sono fermate al TOTP, che contro AiTM è insufficiente.

Ci sono tre cambiamenti operativi concreti che ogni organizzazione dovrebbe implementare ora:

1. Migrare account critici a FIDO2/WebAuthn. Iniziare dai profili con accesso a dati sensibili, repository di codice e console cloud. Google Workspace Enterprise e Microsoft Entra ID supportano nativamente policy che richiedono chiavi FIDO2 per determinati gruppi, senza bisogno di strumenti aggiuntivi.

2. Implementare simulazioni di phishing focalizzate su discrepanze sottili di URL. Strumenti come KnowBe4 o Proofpoint Security Awareness Training permettono di creare campagne che testano esattamente il modello HookedWing, domini visivamente prossimi all'originale e pretesti di alert di sicurezza. Dati interni dei clienti FM Solutions mostrano che il tasso di clic nelle simulazioni cala del 60% dopo due cicli di training mirato su questo pattern specifico.

3. Abilitare alert di login da località o dispositivo non abituali. Sia Google Workspace sia Microsoft 365 offrono policy di accesso condizionale che bloccano o segnalano sessioni aperte da IP o ASN non riconosciuti. Per i repository GitHub, abilitare il log di audit e gli alert tramite GitHub Advanced Security è l'equivalente funzionale.

Il rischio silenzioso: assenza di alert di malware

Un dettaglio operativamente critico di HookedWing è che non installa alcun file sull'endpoint della vittima. Non c'è eseguibile, non ci sono macro malevole, non c'è un processo sospetto in memoria. Soluzioni EDR e antivirus tradizionali semplicemente non hanno nulla da rilevare, il compromesso avviene interamente nel browser, tramite sessione legittima sequestrata. Questo significa che il vettore di rilevamento deve spostarsi sul piano dell'identità: anomalie di login, token di sessione a lunga durata in località inattese e accessi a risorse fuori dal comportamento storico dell'utente.

Cosa fare nelle prossime 48 ore

Se la vostra azienda non ha ancora auditato quali account Google, Microsoft e GitHub sono protetti solo con TOTP o SMS, questo è il punto di partenza. HookedWing non è una minaccia futura, è attiva ora, e il costo di una credenziale amministrativa GitHub compromessa può includere dalla esfiltrazione del codice sorgente a supply chain attacks sui clienti downstream.

La buona notizia è che il controllo più efficace, FIDO2, è disponibile gratuitamente sulle piattaforme che la vostra azienda già paga. Nella maggior parte dei casi quello che manca è la decisione di implementarlo.