L’autenticazione a più fattori sta diventando un requisito imprescindibile per la sicurezza informatica:le compagnie di assicurazione specializzate in cyber-rischi la richiedono, i responsabili della sicurezza aziendale prevedono di aumentare gli investimenti in questo ambito e, sebbene l’autenticazione a più fattori possa risultare fastidiosa per gli utenti, la maggior parte di essi riconosce che contribuisce a proteggere i propri account. Infatti, secondo Microsoft , il metodo di verifica in due passaggi è in grado di bloccare oltre il 99,9% dei tentativi di attacco, mentre Google stima che il tasso di successo si attesti tra il 76% e il 100%.
Allora, cosa c’è che non va?
Ebbene, come accade con la maggior parte delle misure di sicurezza, gli hacker stanno trovando sempre più spesso modi ingegnosi per aggirare l’autenticazione a più fattori (MFA).
«Gli hacker si adatteranno sempre, e non sono ancora convinto che l’autenticazione a più fattori (MFA) — nemmeno a lungo termine — sarà la panacea che la maggior parte delle persone ritiene che sia», afferma Roger Grimes, analista di difesa informatica presso KnowBe4, azienda che offre corsi di formazione sulla sicurezza informatica . «L’MFA viene presentata come una soluzione estremamente, estremamente sicura, in grado di risolvere i problemi di hacking di tutti... e semplicemente non è vero.»
Per essere chiari, esperti come Grimes sostengono che l’autenticazione a più fattori (MFA) — che richiede il nome utente e la password, oltre a un codice o una chiave temporanea inviata al dispositivo dell’utente — sia tuttora uno dei metodi di verifica più efficaci e debba far parte di qualsiasi strategia di sicurezza endpoint . Inoltre, le forme più recenti di autenticazione multifattoriale (MFA), basate su un framework denominato “ FIDO2” ( ), utilizzano credenziali di accesso crittografate per ridurre al minimo il rischio di attacchi di tipo “”, di phishing (), di furto di password ( ) e di attacchi di tipo “replay” (). Inoltre, tale struttura consente di integrare nel processo innovazioni quali lettori di impronte digitali, telecamere e chiavi di sicurezza.
Tuttavia, la maggior parte delle organizzazioni continua ad affidarsi a metodi obsoleti basati sugli SMS — ovvero il servizio di messaggi brevi o messaggistica di testo — e sono proprio questi sistemi ad essere presi di mira dagli hacker con crescente successo.
Lo stanno facendo in diversi modi, tra cui: ricorrendo all’ingegneria sociale; sfruttando le vulnerabilità nelle modalità di invio dei codici monouso agli utenti; e utilizzando account inattivi su Microsoft per ottenere l’accesso a reti pubbliche e private.
In che modo l’MFA soccombe all’ingegneria sociale
Una delle tattiche più diffuse è nota come “ ” (MFA fatigue attack). Conosciuto anche come “MFA bombing”, questo tipo di attacco consiste nel fatto che un malintenzionato inondi il dispositivo di un utente finale con ripetute richieste di approvazione di un tentativo di accesso. In sostanza, funziona cogliendo qualcuno alla sprovvista o indurlo con l’inganno a credere di dover approvare una richiesta di autenticazione.
«I dipendenti devono considerare le richieste di autenticazione MFA con un livello di diffidenza maggiore [come se] qualcuno si presentasse alla porta di casa chiedendo i dati della carta di credito.»Chris Prewitt, responsabile della sicurezza informatica (CISO), Inversion6
Lo scorso settembre, il famigerato gruppo di hacker Lapsus$ ha utilizzato la tecnica del “MFA bombing” per violare l’ App e della piattaforma di ridesharing Uber. Uber ha dichiarato che i criminali informatici hanno ottenuto le credenziali di una VPN da un collaboratore esterno, molto probabilmente acquistandole sul dark web, e che successivamente hanno tentato ripetutamente di accedere all’account Uber dell’utente. Ogni volta, l’appaltatore riceveva una richiesta di approvazione dell’accesso a due fattori, che inizialmente bloccava l’accesso. Alla fine, tuttavia, l’appaltatore ne ha accettata una e l’autore dell’attacco è riuscito ad accedere, ha affermato Uber. Da lì, l’autore dell’attacco ha avuto accesso ad altri account dei dipendenti e ha ottenuto privilegi di accesso avanzati a diversi strumenti, tra cui G-Suite e Slack.
Sebbene l’autore dell’attacco sia riuscito a pubblicare messaggi sul canale aziendale Slack , Uber ha affermato di non ritenere che gli autori dell’attacco abbiano avuto accesso ai dati personali dei clienti né abbiano apportato modifiche al codice sorgente.
In un recente sondaggio condotto da “ ” e “Beyond Identity”, il 62% degli utenti ha dichiarato di aver subito un attacco di tipo “MFA bombing”, e quasi uno su 10 non è mai riuscito a riottenere l’accesso a un account che era stato bloccato a seguito di tali attacchi. Secondo il rapporto, i cinque principali tipi di account MFA colpiti da questa tattica sono stati quelli relativi al settore bancario (62%), a Facebook (45%), a Instagram (39%), alle criptovalute (36%) e a Twitter (34%).
3 modi per contrastare gli attacchi di "stanchezza da MFA"
Per ridurre il rischio che un attacco MFA vada a buon fine, gli esperti raccomandano di adottare alcune misure:
1. Rafforzare i parametri dell’autenticazione a più fattori (MFA): BeyondTrust raccomanda di ottimizzare la configurazione dei Suoi processi di autenticazione MFA attraverso le seguenti misure: ridurre l’intervallo di tempo tra le autenticazioni dei singoli fattori; limitare il numero di tentativi di accesso non riusciti consentiti in un determinato arco di tempo; aggiungere requisiti di geolocalizzazione o biometrici; aumentare il numero di fattori richiesti per l’accesso; e segnalare i tentativi di accesso eccessivi a un analista della sicurezza. Altri esperti suggeriscono di limitare o disattivare le notifiche push relative alle richieste di autenticazione a più fattori (MFA).
2. Formate il vostro personale: Chris Prewitt, CISO di Inversion6, raccomanda di garantire una formazione continua al vostro personale per assicurarsi che sia a conoscenza dell’attacco basato sulla “stanchezza da autenticazione a più fattori” (MFA fatigue) e sappia come affrontarlo.
«I dipendenti devono considerare le richieste di autenticazione MFA con un maggiore grado di diffidenza», afferma. «Se qualcuno si presentasse alla porta di casa e chiedesse i dati della carta di credito, la maggior parte delle persone non glieli fornirebbe.» «Ma online sembriamo un po’ più inclini a cliccare su contenuti e a condividere informazioni che non dovremmo, e questo deve cambiare.»
3. Applicare il principio del privilegio minimo: Un ulteriore passo consiste nel limitare i diritti di accesso di individui, account e macchine esclusivamente a quanto necessario per l’utente in questione. In questo modo, gli attacchi di tipo “MFA fatigue” faticano a ottenere un accesso esteso agli account o ai dati. Vengono sostanzialmente fermati nei pressi dei loro punti di ingresso.
Attacchi MFA che sfruttano le vulnerabilità degli SMS
Un altro modo in cui gli hacker possono aggirare l’autenticazione a più fattori (MFA) consiste nell’aggirare lo stesso sistema basato sui codici monouso inviati via SMS.
«. Nessuna misura di sicurezza, se attuata in modo inadeguato, rappresenta la soluzione.»John Pescatore, responsabile delle tendenze emergenti in materia di sicurezza presso il SANS Institute
La maggior parte degli esperti concorda sul fatto che basare il secondo fattore dell'autenticazione MFA sull'autenticazione tramite SMS non sia particolarmente sicuro, poiché gli hacker sono piuttosto abili nell'utilizzare tecniche di spoofing e phishing per intercettare e leggere i messaggi SMS. Ricorrono inoltre a una truffa di ingegneria sociale denominata “ ” (sostituzione della SIM), in cui ottengono informazioni personali su di Lei, contattano il Suo operatore di telefonia mobile, gli raccontano una storia inventata riguardo a uno smarrimento o a un furto del telefono e lo convincono a trasferire il Suo vecchio numero su un nuovo telefono da loro controllato. Una volta fatto ciò, possono intercettare i messaggi SMS, compresi i codici MFA. Esiste persino una tecnica denominata “SMS smishing”, ovvero un attacco di phishing sferrato tramite SMS.
Grimes osserva che alcune soluzioni MFA sono diventate più efficaci nel contrastare i tentativi di phishing o smishing e afferma che «tutti dovrebbero utilizzare un’autenticazione a più fattori (MFA) resistente al phishing, quando possibile, per proteggere dati e sistemi di valore». Egli avverte tuttavia: «Nella migliore delle ipotesi, anche un buon sistema MFA riesce a bloccare forse solo dal 30% al 50% degli attacchi odierni».
Da parte loro, l’ Microsoft e e altri leader del settore esortano le aziende ad abbandonare l’autenticazione a più fattori (MFA) basata sul telefono, che definiscono «il metodo MFA meno sicuro tra quelli oggi disponibili», e a ricorrere invece a chiavi di sicurezza o app di autenticazione. Microsoft Anche ha annunciato l’intenzione di migliorare l’autenticazione a due fattori in Windows 11 , aggiungendo un numero al codice del secondo fattore inviato dalla propria app Microsoft Authenticator App. La funzione è ancora in fase di test. Twitter Allo stesso modo, ha comunicato agli utenti che non sono abbonati al suo servizio a pagamento Twitter Blue che smetterà di inviare SMS con i codici di accesso a partire dal 20 marzo. L'azienda ha incoraggiato gli utenti non paganti a utilizzare app di autenticazione gratuite o metodi basati su chiavi di sicurezza.
«Ritengo che questo sia un grande passo nella giusta direzione», afferma Prewitt. «Il sistema SMS è oggetto di attacchi da molto tempo.»
Utilizzare l’autenticazione a più fattori (MFA) per attaccare l’autenticazione a più fattori (MFA)? Scoprite come avviene l’appropriazione indebita di conti inattivi
Uno dei modi più subdoli con cui gli hacker possono aggirare l’autenticazione a più fattori (MFA) consiste nel prendere il controllo di account inattivi su Microsoft . Mandiant., un’azienda specializzata in sicurezza informatica, afferma di aver recentemente osservato, all’indirizzo , una tendenza in cui gli hacker, tra cui il gruppo di spionaggio russo APT29, sfruttano il processo di auto-registrazione per l’autenticazione a più fattori (MFA) in Azure Active Directory e altre piattaforme.
In un caso, il gruppo APT29 avrebbe condotto un attacco di indovinamento delle password contro un elenco di caselle di posta elettronica di cui era entrato in possesso in qualche modo. Sono riusciti a indovinare la password di un account che era stato creato ma mai utilizzato. Poiché era inattivo, secondo Mandiant , l’AD Azure ha indotto APT29 a registrarsi al servizio MFA e, una volta avvenuto ciò, il gruppo di hacker è riuscito ad accedere all’infrastruttura VPN che utilizzava l’AD Azure per l’autenticazione e l’autenticazione a più fattori (MFA).
Per contrastare tali attacchi, Mandiant raccomanda di assicurarsi che tutti gli account attivi dispongano di almeno un dispositivo MFA registrato e di collaborare con il fornitore della piattaforma per aggiungere ulteriori verifiche al processo di registrazione MFA.
John Pescatore, direttore del settore “Tendenze emergenti in materia di sicurezza” presso il SANS Institute, afferma che la maggior parte degli attacchi di bypass dell’autenticazione a più fattori (MFA) come questi hanno una cosa in comune: si basano su processi implementati in modo inadeguato, anziché compromettere direttamente la soluzione MFA.
«La mancanza di sicurezza, se gestita male, non è la soluzione», afferma. “Tuttavia, l’adozione di rigorosi controlli di sicurezza quali l’autenticazione a più fattori (MFA), la gestione dei privilegi, il controllo delle applicazioni e l’applicazione rapida delle patch , unitamente alle attività di penetrazione condotte da personale qualificato, ha consentito a molte aziende di evitare danni ingenti causati da attacchi informatici, senza compromettere l’attività aziendale.”
