Le nuove tecniche d’attacco superano l’autenticazione multifattore

Mar 08, 2023 Marina Londei Approfondimenti, Attacchi, Hacking, RSS 0

---

Per quanto l’autenticazione multifattore (MFA) sia considerata sicura, non protegge del tutto dagli attaccanti, che continuano ad affinare le proprie tecniche per superare i controlli della sicurezza multi-factor. Come ha riportato Robert Lemos di DarkReading, i cybercriminali si sono adattati alle ultime misure di sicurezza sviluppando nuove tecniche di attacco.

Le nuove tecniche contro l’autenticazione multifattore

Di fronte a profili personali e lavorativi sempre più difficili da compromettere, gli attaccanti hanno sviluppato nuove tecniche per superare l’autenticazione a più fattori. Una di queste sfrutta l’anello in assoluto più debole della catena di protezione: l’essere umano. Durante un attacco MFA flooding (o fatigue) l’attaccante tenta ripetutamente di loggarsi nell’account inondando la vittima di notifiche push, nella speranza che clicchi su una di queste e consenta l’accesso.

Un altro attacco di social engineering consiste nel richiedere un reset dell’account al supporto tecnico, fingendosi la vittima, così da ottenere le nuove credenziali e farsi inviare l’OTP sul proprio dispositivo.

Anche il browser è diventato uno dei veicoli preferiti dai cybercriminali per sferrare nuovi attacchi: dopo che l’utente si è loggato sul suo account, un attaccante può collezionare i cookie di sessione e utilizzare quello di autenticazione per effettuare il login. Questo tipo di attacco sfrutta in maniera indiretta la sessione utente, senza neanche avere a che fare coi controlli di sicurezza.

Infine, anche attacchi di tipo proxy o man-in-the-middle si possono rivelare molto efficaci: gli attaccanti possono compromettere l’intera infrastruttura di comunicazione tra il servizio e il server per ottenere le informazioni di login in tempo reale. Si tratta, questa, di una tecnica che permette di superare la maggior parte dei metodi MFA.

Contrastare i nuovi attacchi

Nonostante le misure di autenticazione siano migliorate, le imprese non possono stare completamente tranquille. Per il momento, la soluzione migliore contro questi attacchi è scegliere un dispositivo fisico per l’autenticazione, che si tratti di una chiave hardware o di un device di riconoscimento biometrico.

La vera difficoltà, in questo caso, sta nel distribuire l’hardware tra i dipendenti, soprattutto nelle realtà dove prevale il lavoro remoto, ed essere in grado di gestire l’eventuale perdita dei dispositivi. Bisogna considerare però che gli attaccanti potrebbero comunque riuscire a ottenere il controllo dell’account sfruttando la tecnica del reset dell’account o richiedendo un nuovo device, affermando di averlo perso. Se il supporto tecnico acconsente a proseguire col processo di reset, l’attaccante può superare facilmente i controlli di sicurezza.

Gli utenti non sono mai completamente al sicuro. Come si può contrastare il problema, quindi? Investire su metodi di autenticazione biometrici o con chiavi hardware rimane comunque la scelta migliore per mettere in difficoltà gli attaccanti, ma al contempo bisogna formare adeguatamente gli utenti contro i tentativi di phishing e inserire step di autenticazione più stringenti per le richieste di reset degli account.

---

• autenticazione a due fattori, Man in the Middle, MFA, MFA fatigue, multi factor authentication, Phishing, social engineering

---

---