Le password, specie se troppo semplice e poco protette, non sono abbastanza sicure. Per questo sempre più servizi offrono l’autenticazione a due o più fattori, che permette di accedere ai propri account tramite un codice inviato tramite SMS oppure utilizzando un’app da smartphone. Ma purtroppo gli hacker hanno trovato alcuni modi per aggirare anche l’autenticazione a due fattori e rubare i nostri dati (anche quelli bancari) seppur ben protetti. Ecco quali sono i rischi e come limitarli.
Autenticazione a due fattori, gli hacker sanno come aggirarla
Uno dei modi più semplici che gli hacker hanno per attaccare i vostri dispositivi e account è sfruttando attacchi phishing per rubare le vostre password, oppure indovinando quelle più deboli. L’autenticazione a due fattori (2FA) o multifattoriale (MFA) aggiunge un ulteriore livello di protezione. Un codice di verifica inviato tramite SMS, un’app di autenticazione (come Google Authenticator, ma ce ne sono molte) o addirittura una chiave fisica (qualcuno forse ha ancora un dispositivo per il codice di verifica della propria banca).
In questo modo, se anche l’hacker conosce la password ma non ha il dispositivo su cui ricevete il codice (lo smartphone o una chiavetta apposita), non può accedere ai vostri account. Tanto che questa soluzione previene la maggior parte degli attacchi hacker, e da Google ad Apple, passando per tutti i principali operatori tech, sempre più aziende stanno integrando soluzioni multifattoriali per aumentare la vostra sicurezza.
Ma purtroppo gli hacker ne sono consapevoli e stanno sviluppando sistemi per aggirare l’autenticazione a due fattori. Secondo un’analisi di Microsoft, oltre diecimila aziende sono state attaccate in questo modo durante l’anno scorso.
L’avversario nel mezzo
Uno dei modi più utilizzati per aggirare l’autenticazione multifattoriale sono gli attacchi chiamati Adversary-in-the-Middle (AitM). Sono attacchi che combinano gli attacchi phishing, che rubano la password di un account. E quando le vittime cercano di fare login sul sito, utilizzando un server proxy posto in mezzo fra il vostro dispositivo e il sito cui tentante di accedere.
Quando fate login, gli hacker rubano il cookie dell’autenticazione. Quindi voi avete sbloccato il vostro account per i cybercriminali, che ora possono accedere perché il sistema pensa che siate voi quelli che stanno navigando sul sito.
Microsoft sottolinea che questa “non è una vulnerabilità del sistema di autenticazione multifattoriale. Poiché il phishing AitM ruba il cookie della sessione, l’attaccante si autentica al posto dell’utente, indipendentemente dal metodo utilizzato per accedere”.
In altre parole, la sicurezza aggiunta dell’autenticazione a due fattori non viene compromessa dagli hacker. Semplicemente, aggirano il problema rubando il cookie che permette di navigare il servizio una volta effettuato l’acceso. Necessario per visitare pagine diverse nel sito e per tornare in seguito senza dover effettuare di nuovo l’accesso 2FA.
La compagnia di sicurezza ZScaler spiega: “sebbene le funzionalità di sicurezza come l’autenticazione multifattoriale aggiungano un livello di sicurezza, non dovrebbero essere considerate come un proiettile d’argento contro gli attacchi phishing. Con gli attacchi AitM e tecniche di evasione intelligente, gli hacker possono bypassare sia le soluzioni di sicurezza tradizionale che quelle avanzate”.
Attenzione al codice di autenticazione
Oltre agli attacchi Adversary-in-the-Middle, ci sono altri modi per superare la soglia protetta dall’autenticazione a due fattori. Soprattutto perché, in molti casi, quando è richiesto un codice siete voi che dovete poi inserirlo. E un abile hacker può raggirarvi per ottenerlo.
Un metodo complesso, ma praticabile, prevede che gli hacker si fingano il servizio a cui volete accedere (per esempio la banca per il conto online) e si facciano dare il vostro codice. Questo è il motivo per cui di solito questi operatori nel messaggio in cui inviano il codice spiegano che non chiameranno mai per richiederlo.
Altri metodi richiedono l’installazione di malware sul vostro dispositivo, che per esempio può registrare quali tasti usate sulla tastiera quando inserite il codice. Oppure ci sono malware che eseguono operazioni da remoto sul vostro smartphone, utilizzando le app di autenticazione dopo che voi le avete sbloccate per accedere a un servizio.
L’autenticazione a due fattori non è infallibile, ma resta la miglior difesa contro gli hacker
Un buon servizio di autenticazione a due fattori, di solito, protegge gli utenti anche quando gli hacker cercano di comprometterlo. Per esempio, se riconosce che è la prima volta che accedete a un account da un dispositivo, potrebbe inviarvi una email chiedendo se eravate proprio voi ad accedere (chi ha di recente cambiato smartphone probabilmente lo avrà notato). Ma nessun sistema è infallibile: gli hacker possono trovare un modo per aggirare anche quest’ultima difesa, magari cambiando subito le password di accesso.
Insomma, l’autenticazione multifattoriale aumenta la sicurezza ma non dovreste considerarla infallibile. I cybercriminali diventano sempre più sofisticati e il rischio resta. Utilizzando la 2FA o MFA, non sarete i più vulnerabili: molti attacchi hacker non riusciranno a colpirvi ed eviterete le campagne hacker più basilari. Tuttavia dovete continuare a prestare attenzione alla sicurezza.
Quindi evitate login a siti non sicuri, non rispondete a email non sollecitate di operatori di servizi e non scaricate allegati email di cui non conoscete la provenienza. Tutte misure base di cybersecurity, che dovreste mantenere anche dopo aver attivato la protezione a più fattori. E se notate attività strane, non esitate a contattare gli operatori di servizi direttamente dal sito ufficiale.
Nessuno strumento di sicurezza è definitivo. Va sempre abbinato a delle pratiche di buon senso e a una grande attenzione per la cybersecurity.
- ESCLUSIVA AMAZON: ricevi 3 mesi aggiuntivi al tuo abbonamento annuale per un totale di 15 mesi
- McAfee Total Protection offre protezione tutto in uno - Antivirus, sicurezza e protezione della privacy e...
- Verifica l’integrità della tua protezione online - Il nostro punteggio di protezione, unico nel settore, identifica...
Rimani aggiornato seguendoci su Google News!
Da non perdere questa settimana su Techprincess
🚪 La pericolosa backdoor di Linux, disastro sventato da un solo ricercatore
🎶Streaming Farms: il lato oscuro della musica, tra ascolti falsi e stream pompati
✈️Abbiamo provato DJI Avata 2: sempre più divertente!
✒️ La nostra imperdibile newsletter Caffellattech! Iscriviti qui
🎧 Ma lo sai che anche Fjona ha la sua newsletter?! Iscriviti a SuggeriPODCAST!
📺 Trovi Fjona anche su RAI Play con Touch - Impronta digitale!
💌 Risolviamo i tuoi problemi di cuore con B1NARY
🎧 Ascolta il nostro imperdibile podcast Le vie del Tech
💸E trovi un po' di offerte interessanti su Telegram!
