"Abbiamo l'autenticazione a più fattori, siamo al sicuro." È una delle frasi che sentiamo più spesso, ed è quasi sempre vera — ma non del tutto più. Una categoria di attacchi in crescita, nota come phishing Adversary-in-the-Middle (AiTM), è pensata proprio per aggirare l'MFA. Vale la pena capire come funziona.

Perché l'MFA da sola non basta più

L'autenticazione a più fattori resta una delle difese più efficaci che esistano: blocca la stragrande maggioranza degli attacchi automatizzati e dei tentativi con password rubate o riutilizzate. Il problema è che i criminali si sono adattati, sviluppando strumenti pensati specificamente per aggirarla, non per romperla.

Come funziona un attacco AiTM

A differenza del phishing tradizionale, che si limita a copiare una pagina di login per rubare la password, un kit AiTM funziona come un intermediario in tempo reale tra la vittima e il servizio vero (ad esempio Microsoft 365).

  • La vittima clicca un link di phishing e arriva su una pagina che, dietro le quinte, inoltra ogni interazione al sito reale
  • La vittima inserisce email e password: il kit le passa al sito vero e riceve la richiesta di codice MFA, che rigira alla vittima
  • La vittima inserisce il codice: a questo punto il sito vero considera l'accesso legittimo e genera un cookie di sessione autenticata
  • Il kit intercetta quel cookie di sessione e lo consegna all'attaccante, che può usarlo per entrare nell'account senza dover più conoscere password o codice MFA

Il punto chiave: l'attaccante non "indovina" l'MFA, lo aggira del tutto. Ruba la sessione già autenticata, esattamente come se avesse rubato le chiavi di casa dopo che tu hai già aperto la porta.

Perché è diventato un problema comune

Fino a qualche anno fa, costruire un attacco di questo tipo richiedeva competenze tecniche significative. Oggi esistono kit di phishing "chiavi in mano" che automatizzano l'intero processo, resi disponibili come servizio anche a criminali con competenze tecniche limitate. Questo ha reso l'AiTM una tecnica accessibile su larga scala, non più riservata ad attacchi mirati e sofisticati.

Cosa protegge davvero da questo tipo di attacco

  • MFA "resistente al phishing": chiavi di sicurezza fisiche (FIDO2) o passkey sono legate crittograficamente al dominio reale del servizio e non possono essere "girate" attraverso un sito intermedio, a differenza di codici via SMS o app OTP
  • Bloccare la pagina di phishing prima del click: se il link malevolo non arriva mai in casella, o viene bloccato al momento del click, l'intera catena dell'attacco non parte
  • Monitorare l'uso anomalo delle sessioni: accessi da posizioni geografiche o dispositivi incoerenti con le abitudini dell'utente sono un segnale da intercettare rapidamente
  • Formazione continua: restare diffidenti verso link che chiedono un login, anche quando la pagina appare identica all'originale

Un cambio di prospettiva necessario

Il messaggio non è "l'MFA non serve" — resta indispensabile e blocca comunque la maggioranza degli attacchi. Il messaggio è che l'MFA non è più, da sola, una garanzia assoluta: va accompagnata da una protezione che intercetti il tentativo di phishing a monte, prima che l'utente arrivi anche solo a vedere la pagina falsa.

Come ti protegge MailGestITA

Il gateway Libraesva analizza in tempo reale la destinazione dei link contenuti nelle email — anche quelli che reindirizzano attraverso più passaggi, come tipico nei kit AiTM — e blocca l'accesso alle pagine di phishing note o sospette prima che l'utente possa interagirci. Su Microsoft 365 gestito da noi, ti aiutiamo inoltre a configurare metodi MFA più resistenti al phishing, dove disponibili, al posto dei soli codici via SMS.