ConsentFix: l’attacco OAuth che bypassa l’MFA

ConsentFix è un attacco OAuth che bypassa MFA convincendo l’utente a consegnare il proprio token di accesso.

All’alba del nuovo millennio, internet iniziò a prendere piede nelle case di tutti gli utenti. Tuttavia, si scoprì che la singola password non era sufficiente a proteggere gli account online. Per cui, si decise di investire in una nuova soluzione di protezione: l’autenticazione a più fattori (MFA). Questa non ci ha messo molto a diventare la risposta standard contro phishing, credential stuffing e furto di password. In larga misura funziona, ma la sua sola esistenza ha portato alla nascita di una categoria di attacchi che fa leva sull’utente stesso. Aspetta che sia lui stesso a consegnare spontaneamente ciò di cui necessita.

1. Da ClickFix a ConsentFix
2. Come funziona ConsentFix
3. FOCI e la catena post-compromissione
4. Il toolkit criminale ConsentFix v3
5. Come difendersi da ConsentFix

A dicembre 2025 i ricercatori di Push Security hanno documentato questa tecnica durante un’indagine su una campagna attribuita al gruppo russo APT29, identificando un attacco chiamato ConsentFix. Si tratta di una minaccia figlia diretta di ClickFix, che convince gli utenti a consegnare agli attori malevoli il proprio token OAuth.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Da ClickFix a ConsentFix

ClickFix è un attacco basato su un principio molto semplice. Si induce l’utente a credere che nel suo sistema esista un problema da risolvere e proporgli una soluzione manuale diretta in grado di risolverlo. L’utente copia un comando PowerShell dalla pagina malevola, lo incolla nel terminale e lo esegue. L’attaccante non forza assolutamente nulla, perché è la vittima ad aprirgli la porta spontaneamente.

Partendo da questa logica, ConsentFix la applica al flusso di autenticazione OAuth. Invece di un comando da eseguire, la vittima viene convinta a copiare un URL dal proprio browser e incollarlo nella pagina dell’attaccante. Quell’URL contiene un codice di autorizzazione OAuth, un token temporaneo che il sistema di autenticazione di Microsoft genera durante il processo di login. L’attaccante lo intercetta e lo usa per ottenere accesso all’account, senza mai aver visto la password, né aver dovuto superare alcun controllo MFA.

I ricercatori di Push Security hanno evidenziato che ConsentFix opera interamente nel browser, non tocca l’endpoint e aggira i controlli di autenticazione sfruttando un flusso OAuth legittimo, piuttosto che emularne uno falso.

Come funziona ConsentFix

Accesso con account Microsoft legittimo

La vittima arriva su un sito web compromesso o su una pagina malevola, spesso raggiunta tramite ricerca Google. Gli viene presentata una replica della pagina di verifica Cloudflare Turnstile, che chiede di inserire l’indirizzo email aziendale. Il modulo filtra attivamente gli indirizzi personali e procede solo con le email aziendali, garantendo che le vittime appartengano a organizzazioni target.

Una volta inserita un’email valida, la vittima viene invitata ad autenticarsi con il proprio account Microsoft per completare la verifica. Il click sul pulsante apre una scheda con una pagina di login Microsoft legittima, ospitata su domini autentici di Microsoft. Se è già connesso nel browser, la vittima seleziona il proprio account dal menu a tendina e il login si completa automaticamente.

Intercettazione del flusso OAuth

A questo punto entra in gioco il meccanismo centrale dell’attacco. Il flusso OAuth che Microsoft usa per le applicazioni desktop native, come Azure CLI, prevede che al termine del login il browser venga reindirizzato verso un indirizzo localhost contenente il codice di autorizzazione nell’URL. Se nessuna applicazione è in ascolto su quella porta, il browser mostra semplicemente la pagina con l’URL visibile nella barra degli indirizzi. La pagina malevola istruisce la vittima a copiare quell’URL e incollarlo in un campo apposito. La vittima lo fa, convinta di star completando una procedura di verifica. L’attaccante riceve il codice di autorizzazione, lo scambia con i server Microsoft per un token di accesso e un refresh token, ottenendo così pieno accesso all’account.

Nessun controllo di sicurezza si attiva, poiché il login è avvenuto su vere pagine Microsoft e l’MFA è stata superata dall’utente prima che iniziasse la fase di consegna del token. Come se non bastasse, dai log di Microsoft l’accesso risulta del tutto legittimo.

FOCI e la catena post-compromissione

Il token ottenuto tramite ConsentFix non garantisce accesso a un singolo servizio. Azure CLI appartiene a un gruppo di applicazioni Microsoft chiamato FOCI (Family of Client IDs). Si tratta di un insieme di app proprietarie Microsoft che condividono la stessa famiglia di token. Un refresh token ottenuto per un’app FOCI può essere scambiato per ottenere token di accesso alle altre app del gruppo senza la necessità di una nuova autenticazione.

Se un attaccante compromette un account tramite Azure CLI, può immediatamente accedere a Outlook, Teams, OneDrive e SharePoint tramite API, perché sfrutta lo stesso identico token già autenticato. La vittima non compie alcuna azione, né si accorge di ciò che sta realmente accadendo davanti ai suoi occhi.

Tuttavia, esiste un ulteriore livello di escalation. Prendendo di mira l’applicazione Microsoft Authentication Broker durante il flusso OAuth, è possibile combinare il token ottenuto con una nuova registrazione del dispositivo nell’ambiente Entra ID della vittima. Il risultato è un Primary Refresh Token (PRT), che garantisce accesso SSO completo a tutte le applicazioni e i servizi connessi all’account, come se l’attaccante stesse operando da un dispositivo aziendale regolare. Questa tecnica è la stessa usata dal gruppo Storm-2372 in una campagna documentata da Microsoft nel febbraio 2025.

Il toolkit criminale ConsentFix v3

Il 23 aprile 2026, sul forum underground XSS, è comparso un post che annunciava ConsentFix v3, presentandolo come un toolkit completo per orchestrare l’intera campagna in modo automatizzato. Stando alla descrizione incredibilmente dettagliata, questo permette di allestire l’infrastruttura di attacco, creare profili di vittima credibili con ZoomInfo, costruire e gestire campagne email e automatizzare lo scambio del codice OAuth intercettato. Tutto sfruttando token di accesso e refresh token esfiltrati attraverso il servizio legittimo Pipedream. L’infrastruttura di ConsentFix v3 si appoggia a Cloudflare Workers per l’hosting, Dropbox per i PDF esca e SpecterPortal per le attività di post-exploitation.

In base a quanto descritto, emerge un parallelismo con il device code phishing, un’altra tecnica che sfrutta un flusso di autorizzazione OAuth legittimo. La differenza tra le due risiede nel flusso impiegato: ConsentFix sfrutta l’authorization code grant (RFC 6749), il device code phishing iel device authorization grant (RFC 8628). I token che producono sono intercambiabili, poiché appartengono allo stesso sistema di emissione e aprono le stesse porte. Secondo i dati di Push Security, gli attacchi di device code phishing sono cresciuti di 37 volte nel 2026, poiché trainati da ConsentFix.

Come difendersi da ConsentFix

Come detto in precedenza, ConsentFix opera interamente nel browser e sfrutta flussi OAuth legittimi. Questo lo rende invisibile alla maggior parte degli strumenti di sicurezza tradizionali. Tuttavia, esistono delle contromisure e delle best practices che possono essere adottate per proteggersi.

• Creare Service Principal per le app vulnerabili.
  La misura più efficace consiste nel creare Service Principal in Entra ID per ciascuna delle applicazioni Microsoft di prima parte esposte al rischio ConsentFix e limitare esplicitamente gli utenti autorizzati ad accedervi.
• Monitorare i log per anomalie nei flussi OAuth.
  Nei log di Entra ID si devono cercare autenticazioni con gli app ID di Azure CLI e delle altre app FOCI seguite da accessi da IP geograficamente o comportamentalmente incoerenti con il profilo utente.
• Adottare strumenti di protezione a livello browser.
  Solo strumenti che analizzano il comportamento delle pagine web in tempo reale possono rilevarlo e bloccarlo prima che la vittima consegni il token.
• Formare il personale sui flussi di autenticazione OAuth.
  Un utente che sa che nessuna procedura di verifica legittima richiede di copiare un URL dal browser e incollarlo in una pagina esterna è molto meno vulnerabile. La formazione deve aggiornarsi per includere questa categoria di attacchi, che non presenta i segnali di allarme classici del phishing tradizionale.

In conclusione

In base a quanto discusso, ConsentFix è l’ennesima dimostrazione di come i gruppi APT e i collettivi cybercriminali siano sempre pronti a scoprire nuovi metodi di inganno. L’autenticazione a più fattori, che per anni è stata un baluardo della nostra protezione, viene compromessa in via definitiva dal fattore meno considerato di tutti: l’azione psicologica rivolta agli utenti.

Ecco perché si torna a chiedere di investire maggiormente in formazione costante del personale e in maggiore consapevolezza della propria situazione in termini di sicurezza. Nonostante ConsentFix v3 non sia ancora uno strumento di massa, ha già dimostrato di avere tutte le carte in tavola per poterlo diventare. Quando ciò avverrà, dovremo essere pronti a confrontarci in maniera diretta, con le giuste contromisure fisiche e psicologiche.