Hai attivato il doppio fattore di autenticazione e ti senti al sicuro. È comprensibile — fino a qualche anno fa era davvero una barriera efficace. Ma oggi quella sicurezza rischia di essere solo apparente.
Gli hacker hanno trovato il modo di aggirare l’SMS, le notifiche push e i codici OTP. E lo fanno in modo sistematico, su scala industriale, come abbiamo già visto parlando di phishing con QR Code.
Il problema: l’MFA tradizionale viene bypassata
Quando l’autenticazione a più fattori si è diffusa, i criminali informatici non si sono arresi. Si sono adattati. Hanno sviluppato una tecnica chiamata Adversary-in-the-Middle (AiTM): invece di attaccare direttamente la vittima, si posizionano come intermediari invisibili tra l’utente e il sito legittimo. Intercettano la password, inoltrano la richiesta di MFA alla vittima, ricevono il codice OTP o l’approvazione della notifica push — e a quel punto entrano nell’account come se fossero l’utente, token di sessione incluso.
In parole semplici: anche se inserisci correttamente il tuo codice a sei cifre, il truffatore lo usa in tempo reale per accedere al tuo account. Il secondo fattore viene aggirato, non superato a forza.
C’è poi un’altra tecnica sempre più usata: il push bombing, o MFA fatigue. L’attaccante conosce già le tue credenziali e inizia a inviare decine di notifiche push sul tuo telefono, spesso nel cuore della notte. L’obiettivo è semplice: farti premere “Approva” per sfinimento. È esattamente quello che è successo nel famoso caso Uber nel 2022, dove un singolo dipendente cedette dopo una raffica di notifiche.
La soluzione: passkey e autenticazione phishing-resistant
La risposta a questi attacchi esiste, ed è già disponibile all’interno di Microsoft 365: si chiama autenticazione phishing-resistant, basata su tecnologie come le passkey e il protocollo FIDO2.
Il principio è elegante nella sua semplicità: la passkey è una chiave crittografica legata in modo indissolubile al dominio del sito per cui è stata creata. Se un criminale ti reindirizza su un sito falso che imita la pagina di accesso Microsoft, la passkey si rifiuta di funzionare, perché il dominio non corrisponde. Nessun codice da intercettare, nessuna notifica da approvare, nessun segreto che transita sulla rete. L’attacco AiTM, semplicemente, non funziona.
I dati confermano quanto questa tecnologia sia efficace e comoda allo stesso tempo: secondo Microsoft, gli utenti che accedono con le passkey ci impiegano in media 3 secondi invece di 69, e il tasso di successo al primo tentativo è del 95% contro il 30% dell’autenticazione tradizionale. Non è solo più sicuro, è anche più rapido e meno frustrante.
Cosa puoi fare oggi
Per uno studio professionale o una PMI, il messaggio è concreto: attivare il doppio fattore non basta più se ci si ferma all’SMS o alle notifiche push. La buona notizia è che non serve rivoluzionare nulla — le soluzioni phishing-resistant sono già integrate in Microsoft 365 e Microsoft Entra, e possono essere configurate in modo graduale, partendo dagli account con accessi più critici.
Il primo passo è capire a che punto è la tua organizzazione e quali account sono davvero protetti.
Contattaci: valutiamo insieme il livello di sicurezza della tua identità digitale e ti mostriamo come passare a un’autenticazione che gli hacker non riescono ad aggirare.
