Per anni il consiglio è stato semplice e giusto: attiva l’autenticazione a più fattori. L’MFA ha fermato una quantità enorme di attacchi basati sul semplice furto della password. Resta una misura fondamentale, da tenere attiva ovunque. Il problema è che una parte degli attacchi moderni ha imparato ad aggirarla, e la frase “ho l’MFA, quindi sono al sicuro” oggi va aggiornata.
Come un attacco AiTM supera l’MFA
La tecnica si chiama Adversary-in-the-Middle (AiTM). L’attaccante non prova a indovinare il secondo fattore: aspetta che sia l’utente stesso a completarlo, poi ruba il risultato. Funziona con un reverse proxy che si mette in mezzo tra la vittima e il sito vero.
Il meccanismo è descritto in dettaglio da Microsoft. La pagina di phishing mantiene due sessioni TLS distinte, una verso la vittima e una verso il sito legittimo, e inoltra ogni richiesta all’originale. L’utente vede una pagina di login perfetta, inserisce le credenziali, approva il secondo fattore. A quel punto il server restituisce un cookie di sessione già autenticato: l’attaccante lo intercetta e lo riutilizza. Quel cookie contiene la prova che l’MFA è stata superata, quindi vale come una sessione valida a tutti gli effetti.
Non è teoria. Microsoft ha documentato una campagna che ha preso di mira oltre 10.000 organizzazioni da settembre 2021, spesso costruita con kit pronti all’uso come Evilginx2. In alcuni casi bastavano cinque minuti dal furto della sessione per avviare frodi sui pagamenti; in una campagna successiva, dal singolo account compromesso partivano oltre 16.000 email verso i contatti della vittima.
MFA fatigue: quando basta un tocco distratto
C’è poi una via ancora più diretta. Se l’attaccante possiede già le credenziali, può scatenare una raffica di notifiche push di approvazione sul telefono della vittima. È il cosiddetto MFA fatigue (o push bombing): prima o poi qualcuno, infastidito o distratto, tocca “Approva”. Questa tecnica è stata usata in violazioni note di grandi organizzazioni, e sfrutta proprio la comodità della semplice conferma con un tap.
Cosa fare davvero
La buona notizia è che le contromisure esistono, sono mature e in buona parte già incluse negli strumenti che molte organizzazioni hanno già. L’obiettivo non è spaventare, ma alzare l’asticella nel punto giusto.
- MFA resistente al phishing. Passkey e chiavi FIDO2/WebAuthn sono l’unico standard che CISA classifica come resistente al phishing. Il motivo è tecnico: la credenziale è legata crittograficamente al dominio su cui è stata registrata. Se l’utente finisce su un dominio-proxy fasullo, l’autenticazione semplicemente non parte. È la difesa più efficace contro l’AiTM.
- Number matching. Al posto del tap cieco, l’app mostra un numero che l’utente deve digitare, insieme al contesto della richiesta (app e posizione). Microsoft lo ha reso predefinito nel maggio 2023 e neutralizza l’MFA fatigue: senza vedere il numero corretto, non si approva nulla.
- Conditional access. Regole che valutano dispositivo, posizione, rischio e conformità prima di concedere l’accesso. Un cookie rubato e riutilizzato da un dispositivo sconosciuto o da un contesto anomalo può così essere bloccato o costretto a una nuova verifica.
- Controllo dei token di sessione. Durata delle sessioni ragionevole, revoca rapida in caso di sospetto, e meccanismi che vincolano il token al dispositivo legittimo riducono il valore di un cookie rubato.
- Formazione. Le persone restano una linea di difesa preziosa. Riconoscere un dominio sbagliato, diffidare di una richiesta di login inattesa, non approvare mai una notifica che non si è generata: sono abitudini che si costruiscono, e funzionano.
La sintesi
L’MFA non è superata: va evoluta. Il salto di qualità consiste nel passare da fattori che si possono intercettare o approvare per errore a fattori legati al dominio e al dispositivo, affiancati da regole di accesso e da un buon controllo delle sessioni. Chi compie questo passaggio toglie all’AiTM e all’MFA fatigue quasi tutto il loro margine. “Ho l’MFA” resta un’ottima base; il traguardo è avere l’MFA giusta.