Per alcune ore Microsoft Defender for Office 365 ha trattato normali link di Google Search come se fossero potenzialmente dannosi. Gli utenti interessati vedevano un avviso di sicurezza quando tentavano di aprire URL legittimi della ricerca Google, mentre gli amministratori potevano ricevere alert correlati nel portale Defender e in Microsoft Sentinel. Il problema non era un improvviso compromesso del motore di ricerca: Microsoft ha attribuito l’incidente a una classificazione di sicurezza inaccurata all’interno di Safe Links.

Il caso, analizzato da NetContentSEO nell’articolo “Microsoft Defender Mistakenly Flags Google Search Links as Malicious”, è particolarmente interessante perché mostra quanto la navigazione moderna dipenda da sistemi di reputazione invisibili. Tra un clic e la destinazione finale possono esserci servizi che riscrivono URL, valutano reputazione e threat intelligence e decidono in tempo reale se consentire l’accesso. Quando la classificazione funziona, questa infrastruttura protegge milioni di utenti senza farsi notare. Quando sbaglia, anche un servizio universalmente riconoscibile come Google può apparire improvvisamente pericoloso.

L’incidente MO1465962: Safe Links bloccava URL legittimi

Secondo la ricostruzione di BleepingComputer, Microsoft ha tracciato il problema con l’identificativo MO1465962. Defender for Office 365 Safe Links poteva bloccare l’apertura di link di Google Search identificandoli erroneamente come malicious. Agli utenti compariva un messaggio che avvertiva che l’apertura del sito poteva non essere sicura.

Microsoft ha spiegato che la causa era una classificazione di sicurezza inaccurata, che portava URL legittimi di Google Search a essere riconosciuti come minacce. L’azienda ha lavorato alla correzione e, in un aggiornamento riportato il 3 settembre, ha comunicato che il problema era stato risolto. Alcuni utenti potevano continuare a sperimentarne gli effetti per un periodo limitato mentre la mitigazione si propagava attraverso l’infrastruttura del servizio.

Non risultano pubblicati, nelle fonti verificate, dati sul numero complessivo di clienti interessati o sulle regioni coinvolte. È quindi corretto parlare di un incidente confermato, ma non attribuirgli una portata geografica o quantitativa che Microsoft non ha comunicato.

Il problema era Defender, non Google Search

Questa distinzione è essenziale anche dal punto di vista SEO. Vedere un avviso “malicious” durante il percorso verso una pagina può far pensare immediatamente che il sito di destinazione sia compromesso, che Google stia mostrando risultati infetti o che il dominio abbia acquisito una cattiva reputazione. Nel caso di MO1465962, invece, il problema documentato riguardava il livello di classificazione di Microsoft Defender for Office 365 Safe Links.

Google Search non era diventato improvvisamente un servizio malevolo e la presenza dell’avviso non dimostrava che i siti presenti nei risultati fossero compromessi. Il falso positivo riguardava gli URL di ricerca valutati dal sistema di protezione Microsoft. Per webmaster e responsabili SEO è una differenza fondamentale: lo stesso sintomo visibile all’utente può avere cause completamente differenti.

Un warning può dipendere da malware effettivamente presente sul sito, da un redirect compromesso, da una campagna pubblicitaria malevola, dalla reputazione del dominio oppure, come in questo caso, da un errore nel sistema di sicurezza che si trova a monte della destinazione. Prima di iniziare bonifiche, migrazioni o richieste di revisione, occorre identificare con precisione quale componente stia generando il blocco.

Come funziona Safe Links e perché un falso positivo può essere così invasivo

Safe Links è una protezione di Defender for Office 365 progettata per contrastare phishing e malware. Il sistema può riscrivere i collegamenti presenti nei messaggi e valutarli quando l’utente fa clic, invece di affidarsi esclusivamente alla reputazione disponibile nel momento in cui l’email viene ricevuta. Questo approccio permette di bloccare una destinazione che diventa pericolosa dopo la consegna del messaggio.

La logica è utile perché gli attaccanti modificano rapidamente le infrastrutture, utilizzano redirect e sfruttano servizi legittimi per nascondere destinazioni finali malevole. Una verifica al momento del clic aggiunge quindi un livello di difesa importante. Durante l’incidente, però, il meccanismo stava applicando correttamente il blocco a una classificazione sbagliata: il sistema faceva ciò che era progettato per fare, ma partendo da un verdetto errato.

Secondo l’alert riportato da BleepingComputer, copiare i link interessati e incollarli direttamente nel browser non rappresentava un semplice workaround. È una caratteristica che evidenzia la forza delle policy enterprise: se un controllo fosse aggirabile con un copia-incolla, sarebbe molto meno efficace contro un attacco reale. La stessa rigidità, tuttavia, amplifica il disagio quando il verdetto è un falso positivo.

Il falso positivo genera lavoro anche per SOC e amministratori

L’impatto non si limitava all’utente che non riusciva ad aprire il link. Microsoft aveva avvertito che le rilevazioni potevano generare alert e incidenti anche nel portale Microsoft Defender e in Sentinel. Per un security operations center, una crescita improvvisa di segnalazioni relative a URL di un servizio molto noto non può essere semplicemente ignorata.

Gli analisti devono capire se stanno osservando una campagna reale, un redirect abusato, una compromissione di terze parti o un errore del vendor. Fino a quando la causa non viene confermata, liquidare automaticamente tutti gli alert come innocui può creare un rischio opposto. Gli attaccanti utilizzano davvero servizi affidabili, redirect legittimi e infrastrutture cloud proprio perché questi elementi hanno una reputazione migliore.

Il costo di un falso positivo enterprise comprende quindi ticket, escalation, indagini, comunicazioni interne e possibili azioni automatiche innescate dai sistemi di sicurezza. Una classificazione errata distribuita centralmente può produrre effetti su numerosi livelli contemporaneamente.

Perché creare subito una allowlist sarebbe stata una cattiva idea

Quando un servizio popolare viene improvvisamente bloccato, la tentazione operativa può essere quella di creare rapidamente un’eccezione. È una risposta comprensibile ma potenzialmente pericolosa. Il fatto che un dominio sia noto non significa che ogni URL associato a quel servizio sia necessariamente sicuro: redirect, parametri e funzionalità legittime possono essere sfruttati anche nelle campagne di phishing.

Una risposta più solida parte dalla correlazione. Occorre confrontare gli URL rilevati, verificare se il comportamento è identico per più utenti, consultare gli advisory del vendor, controllare la destinazione finale e cercare indicatori indipendenti di compromissione. Solo dopo la conferma di un problema di classificazione è possibile valutare eventuali mitigazioni temporanee senza trasformare un falso positivo in una falla di sicurezza reale.

La lezione per SEO e webmaster: un warning non equivale a una penalizzazione

Per un sito web, gli avvisi di sicurezza hanno conseguenze immediate sulla fiducia. Un utente che vede una schermata rossa o un messaggio che suggerisce un rischio può abbandonare il percorso senza distinguere tra browser, antivirus, gateway aziendale e reputazione della destinazione. Dal punto di vista commerciale, anche un falso positivo può quindi ridurre clic e conversioni.

Ma un warning di Defender non deve essere confuso automaticamente con una penalizzazione di Google, un problema di indicizzazione o una compromissione del dominio. I sistemi di sicurezza e i sistemi di ranking rispondono a finalità e infrastrutture differenti. L’incidente del 2 settembre è un esempio particolarmente chiaro: era proprio il percorso verso Google Search a essere bloccato da un prodotto Microsoft, senza che questo dicesse nulla sulla qualità SEO dei risultati raggiunti.

Quando arrivano segnalazioni dagli utenti, il team tecnico dovrebbe raccogliere screenshot, URL esatti, timestamp, prodotto di sicurezza coinvolto e contesto di rete. Verificare lo stesso indirizzo attraverso ambienti differenti può aiutare a capire se il problema risiede nel sito o in un layer esterno.

I sistemi centralizzati di reputazione hanno anche failure mode centralizzati

La vicenda evidenzia un paradosso della cybersecurity cloud. La centralizzazione permette a una nuova informazione di threat intelligence di proteggere rapidamente moltissime organizzazioni: se una destinazione viene identificata come phishing, la piattaforma può bloccarla su vasta scala senza attendere che ogni amministratore aggiorni manualmente una regola.

La stessa architettura può però distribuire rapidamente anche un errore. Se il verdetto centrale è sbagliato, il falso positivo può propagarsi attraverso le stesse infrastrutture che normalmente distribuiscono protezione. Più il sistema è integrato nei flussi di email, collaborazione e SIEM, maggiore può essere la visibilità operativa della classificazione errata.

Questo non è un argomento contro Safe Links o contro la protezione automatizzata. È un argomento a favore di meccanismi robusti di rollback, osservabilità, escalation e contestazione dei verdetti. La qualità di un prodotto di sicurezza non dipende soltanto dal numero di minacce che riesce a fermare, ma anche dalla velocità con cui riconosce e corregge ciò che non avrebbe dovuto bloccare.

Microsoft aveva già affrontato altri falsi positivi

BleepingComputer ricorda che Microsoft ha corretto in passato altri problemi nei quali messaggi legittimi erano stati classificati come spam o phishing e, in alcuni casi, messi in quarantena. Questi precedenti non dimostrano che Defender sia eccezionalmente inaffidabile: i falsi positivi sono una tensione strutturale di qualsiasi sistema che debba distinguere attività malevole e legittime su scala molto elevata.

Microsoft mette inoltre a disposizione canali per sottoporre file e rilevazioni che si ritengono classificate in modo errato. Il feedback umano rimane importante perché nessun sistema di reputazione può anticipare perfettamente tutte le situazioni nelle quali un comportamento legittimo assomiglia a una tecnica utilizzata dagli attaccanti.

La fiducia dipende anche dalla capacità di ammettere un errore

Come osserva l’analisi originale di NetContentSEO, il punto più ampio riguarda la fiducia nelle infrastrutture automatiche che mediano la navigazione. Gli utenti vedono normalmente soltanto il risultato finale: un link funziona oppure viene bloccato. Dietro quella scelta esiste una catena di reputazione, threat intelligence e classificazione che deve prendere decisioni molto rapide con informazioni inevitabilmente incomplete.

Il caso Google Search mostra entrambi i lati del problema. Un sistema di protezione troppo permissivo lascia passare minacce; uno troppo aggressivo interrompe attività legittime e può abituare gli utenti a non fidarsi più degli avvisi. L’obiettivo non può essere eliminare completamente ogni falso positivo, ma ridurlo e disporre di processi abbastanza rapidi da riconoscerlo, comunicarlo e correggerlo.

Microsoft afferma di avere risolto MO1465962. La lezione resta utile per security team, webmaster e professionisti SEO: quando una piattaforma affidabile segnala improvvisamente un’altra piattaforma affidabile come pericolosa, non bisogna né ignorare l’allarme né assumere immediatamente una compromissione. Bisogna ricostruire il percorso del link, identificare chi ha emesso il verdetto e verificare le evidenze. Nel web contemporaneo, capire chi sta classificando una URL è diventato importante quasi quanto capire dove quella URL conduce.