Le tecniche moderne per aggirare l’autenticazione a più fattori
L’autenticazione MFA (Multi-Factor Authentication) è da anni una delle misure più efficaci per ridurre il rischio di compromissione degli account aziendali. Tuttavia, la domanda ricorrente nelle query più cercate è sempre la stessa: “La MFA è ancora sicura?”.
La risposta breve è sì — ma la risposta completa merita una spiegazione, soprattutto alla luce degli attacchi reali che negli ultimi anni hanno colpito aziende come Microsoft, Uber, Cloudflare e Coinbase.
Per questo motivo, in questo articolo analizziamo le principali tecniche di bypass della MFA, perché stanno funzionando così bene e quali soluzioni adottare per rendere i propri sistemi realmente più sicuri.
MFA Fatigue Attack: quando il problema non è la tecnologia, ma la persona
Uno degli attacchi più semplici e allo stesso tempo più efficaci è quello che ha colpito aziende come Uber e Microsoft. L’attaccante non deve fare nulla di sofisticato: gli basta bombardare la vittima con una raffica continua di richieste MFA, spesso nel cuore della notte o in momenti in cui l’utente non può concentrarsi.
Dopo decine di notifiche, molte persone finiscono per premere “Approva” solo per farle sparire. L’attaccante ottiene così l’accesso senza conoscere il codice, senza hackerare il telefono, senza usare malware.
È il classico esempio di come, nella sicurezza informatica, l’anello più debole resti sempre il fattore umano.
Attacchi Adversary-in-the-Middle: Evilginx2 e il furto di sessione
Un altro attacco in rapida crescita è quello dei proxy malevoli come Evilginx2, oggi usati anche in campagne sofisticate contro aziende enterprise. In questo caso l’hacker non punta a rubare il codice MFA, ma a impossessarsi della sessione già autenticata.
Il meccanismo è semplice e subdolo:
- La vittima riceve un link apparentemente legittimo.
- Apre una pagina identica a quella ufficiale del servizio (Outlook, Microsoft, Google, Facebook…).
- Inserisce password e codice MFA.
- Tutto sembra normale… ma quella pagina è un clone.
- L’attaccante sottrae in tempo reale i cookie di sessione.
A quel punto può accedere all’account come se fosse l’utente, senza mai più dover reinserire l’MFA. È una tecnica molto pericolosa perché aggira SMS, app di autenticazione e perfino sistemi push avanzati.
SIM Swapping: quando il problema è l’operatore telefonico
Il SIM Swapping è uno dei metodi più diffusi per rubare account legati a criptovalute, social media e servizi bancari. Qui il punto debole non è la tecnologia MFA, ma il call center dell’operatore telefonico.
L’attaccante:
- contatta l’assistenza,
- si finge il titolare della SIM,
- fornisce dati recuperati da social o leak,
- si fa trasferire il numero su una sua SIM.
Risultato? Riceve tutti gli SMS OTP e i codici di recupero password.
Ecco perché gli SMS non dovrebbero più essere utilizzati come MFA aziendale, soprattutto in settori che richiedono conformità o gestione dati sensibili.
Oltre la tecnica: il social engineering resta il vero protagonista
La maggior parte degli attacchi MFA riusciti ha un punto in comune: l’ingegneria sociale.
Gli hacker oggi chiamano la vittima, si fingono IT interno, fanno pressione, affermano che “serve urgentemente una conferma MFA per risolvere un problema tecnico”.
E molte persone, anche esperte, finiscono per approvare.
Per questo la tecnologia da sola non basta più.
La formazione, la capacità di riconoscere un tentativo di phishing o una pagina clone, è ormai una componente irrinunciabile della sicurezza aziendale.
Allora la MFA è inutile?
Assolutamente no. La MFA resta uno degli strumenti più importanti per proteggere gli account. Il problema non è l’MFA in sé, ma il tipo di fattore utilizzato e la sua configurazione.
Tipologie di MFA più deboli:
- SMS
- OTP via chiamata
- notifiche push senza verifica del contesto
Metodi MFA più sicuri:
- app TOTP (Microsoft Authenticator, Google Authenticator)
- chiavi hardware
- Passkey FIDO2 (oggi lo standard più avanzato)
È come chiudere la porta di casa:
- se usi un lucchetto vecchio, non puoi aspettarti protezione totale;
- ma se utilizzi una serratura moderna e un sistema d’allarme, la sicurezza cambia radicalmente.
Conclusione: la MFA non è un muro, è uno strato. E va rafforzato.
La domanda più frequente è:
“Quindi la 2FA è inutile?”
La risposta è no.
La verità è che alcuni metodi MFA – in particolare gli SMS – sono oggi troppo fragili rispetto alle tecniche moderne di attacco.
La MFA resta fondamentale, ma deve essere:
- configurata correttamente,
- compresa dagli utenti,
- affiancata da formazione continua,
- integrata in un approccio Zero Trust.
Perché anche la migliore tecnologia fallisce se l’utente non sa riconoscere un tentativo di phishing, una pagina clone o un MFA Fatigue Attack.
La consapevolezza resta il livello di difesa più potente che un’azienda possa avere.
Vuoi rendere i tuoi utenti la prima linea di difesa?
Da anni formiamo aziende, PA e organizzazioni su tutto ciò che riguarda la sicurezza dell’identità.
Se vuoi fare un salto di qualità, ecco una risorsa utile che Nexsys può offrirti:
Corso di Cybersecurity Awareness per Utenti aziendali
Un percorso pratico ed efficace che insegna a riconoscere:
- phishing e spear phishing
- link malevoli e pagine fake
- MFA Fatigue Attack
- social engineering telefonico
- minacce alla posta elettronica e all’identità
È uno dei corsi più richiesti del nostro catalogo perché riduce drasticamente gli errori umani, la principale causa delle compromissioni moderne.