Oltre il prompt: perché l'MFA non basta a proteggere i tuoi dati

By Mirko Peters · 2026-08-28

Bentornati, appassionati di sicurezza! Se sei come me, probabilmente ricordi il sospiro di sollievo collettivo della comunità tecnologica quando l'autenticazione a più fattori (MFA) è diventata di uso comune. Per anni ci siamo affidati a password fragili e facili da indovinare. L'MFA doveva essere il proiettile d'argento, lo scudo digitale che avrebbe tenuto lontani gli hacker una volta per tutte.

Automatically translated with AI from the original post. Read the English original

Bentornati, appassionati di sicurezza! Se sei come me, probabilmente ricordi il sospiro di sollievo collettivo della comunità tecnologica quando l'autenticazione a più fattori (MFA) è diventata di uso comune. Per anni ci siamo affidati a password fragili e facili da indovinare. L'MFA doveva essere il proiettile d'argento, lo scudo digitale che avrebbe tenuto lontani gli hacker una volta per tutte. Lo consigliamo ai nostri clienti, agli amici e ai colleghi: attivalo dappertutto. Conti bancari, social network, portali di lavoro: se ha una schermata di accesso, aggiungici l'MFA e considera chiuso il problema.

Ma la dura verità con cui dobbiamo confrontarci oggi è questa: l'MFA non basta. Anzi, affidarsi solo a essa come unica linea di difesa è una scommessa pericolosa. I criminali informatici si sono evoluti e le minacce sofisticate che oggi colpiscono le nostre reti aggirano i classici prompt MFA come se non esistessero.

In questo post smonteremo l'illusione della sicurezza assoluta, analizzeremo le evidenti vulnerabilità insite nei moderni sistemi a più fattori ed esploreremo cosa serve davvero per costruire una strategia di difesa solida, in un mondo in cui password e token standard vengono compromessi di continuo. Che tu sia un professionista IT che protegge un ambiente aziendale o semplicemente qualcuno che vuole blindare la propria vita digitale, capire questi rischi non è facoltativo. Cominciamo.

Punti chiave

• L'MFA non è una soluzione infallibile. Da sola non può garantire la sicurezza dei dati.
• Gli attacchi di phishing possono aggirare l'MFA inducendo gli utenti a rivelare le proprie credenziali.
• Gli attacchi di consenso OAuth consentono l'accesso non autorizzato anche dopo il completamento dell'MFA.
• Lo scambio di SIM (SIM swapping) può intercettare i codici MFA inviati via SMS, compromettendo la sicurezza.
• L'session hijacking sfrutta le sessioni attive, permettendo agli aggressori di aggirare l'MFA.
• I problemi di esperienza utente possono portare all'abbandono dell'MFA, aumentando la vulnerabilità.
• Valuta l'uso di gestori di password per rafforzare la sicurezza e gestire le password in modo efficace.
• Adotta un modello di sicurezza zero trust per verificare continuamente l'identità degli utenti e limitare gli accessi.

Vulnerabilità dell'MFA

Attacchi di phishing

Panoramica sul phishing

Il phishing resta una delle minacce più comuni per la sicurezza dei dati. Questi attacchi ti inducono a rivelare informazioni sensibili, come password o codici di autenticazione. I criminali informatici ricorrono spesso a tecniche di ingegneria sociale per spingerti a fornire questi dati. Possono inviare email dall'aspetto legittimo, che ti invitano a cliccare su link dannosi o a scaricare allegati pericolosi.

Gli attacchi di phishing possono aggirare l'autenticazione a più fattori (MFA) tramite tecniche come il phishing adversary-in-the-middle (AiTM) e il furto di token. Questi metodi sfruttano le vulnerabilità del processo di autenticazione, consentendo l'accesso non autorizzato senza completare le verifiche MFA. La frequenza di questi attacchi è in aumento, con un marcato incremento dell'uso di queste tecniche negli ultimi anni.

Esempi reali

Considera le seguenti tecniche che gli aggressori usano per aggirare l'MFA:

• Ingegneria sociale: gli hacker sfruttano le debolezze umane, inducendoti a fornire codici di autenticazione o credenziali tramite email di phishing o telefonate.
• Attacco per affaticamento dell'MFA: gli aggressori ti inondano di richieste MFA, spingendoti ad approvarne una per esasperazione.
• Attacchi OTP via SMS: tecniche come lo scambio di SIM consentono di intercettare le password monouso inviate via SMS, aggirando l'MFA.

Negli ultimi anni il phishing si è evoluto in campagne sofisticate. Ad esempio, le campagne AiTM posizionano l'infrastruttura di phishing tra te e i servizi legittimi, catturando sia le tue credenziali sia i token MFA. Questo consente agli attaccanti di ottenere l'accesso senza attivare l'MFA. Il furto di token consiste nel rubare i token di autenticazione, concedendo un accesso non autorizzato senza dover conoscere la password o completare le sfide MFA.

Attacchi di consenso OAuth

Come funziona il consenso OAuth

Gli attacchi di consenso OAuth ti inducono a concedere autorizzazioni ad applicazioni malevole. Questi attacchi prendono di mira il livello di autorizzazione anziché il processo di autenticazione. Una volta concesso il consenso, gli attaccanti ricevono token di accesso che operano indipendentemente dall'MFA, garantendo un accesso persistente ai tuoi account.

Rischi di accesso non autorizzato

I rischi associati agli attacchi di consenso OAuth sono significativi. Gli attaccanti possono accedere ai tuoi dati anche dopo che l'MFA è stata completata. Questo significa che le misure di sicurezza tradizionali, come l'MFA, non proteggono dall'accesso non autorizzato una volta concesso il consenso. Le tendenze recenti mostrano un aumento significativo di applicazioni aziendali malevole che prendono di mira i client di Microsoft 365.

SIM Swapping

Come funziona il SIM Swapping

Il SIM swapping è una tecnica con cui gli attaccanti prendono il controllo del tuo numero di telefono convincendo il tuo operatore mobile a trasferire il numero su una nuova SIM. Questo consente loro di intercettare i messaggi SMS, inclusi quelli che contengono i codici MFA.

Casi di studio

La diffusione degli attacchi di SIM swapping è cresciuta in modo drastico. La Federal Trade Commission (FTC) ha riportato un aumento del 400% degli attacchi di SIM swapping tra il 2021 e il 2022. Uno studio del 2020 della Princeton University ha rilevato che l'80% dei tentativi iniziali di frode con SIM swap ha avuto successo, in gran parte a causa dei metodi di autenticazione deboli utilizzati dagli operatori telefonici.

Nel settembre 2023 Vitalik Buterin, co-fondatore di Ethereum, è stato preso di mira da un attacco di SIM swapping che ha permesso agli hacker di impossessarsi del suo account Twitter. Anche un dipendente di Kroll è caduto vittima di un attacco di SIM swapping nell'agosto 2023, con conseguente accesso non autorizzato a informazioni aziendali sensibili.

Le conseguenze degli attacchi di SIM swapping possono essere gravi:

• Gli attaccanti possono intercettare i codici MFA inviati via SMS, consentendo l'accesso non autorizzato agli account.
• L'accesso a informazioni sensibili può portare a violazioni di dati e alla perdita di proprietà intellettuale.
• L'FBI ha segnalato perdite per quasi 50 milioni di dollari dovute agli attacchi di SIM swapping.

Session Hijacking

Sfruttamento dei cookie di sessione

Il session hijacking si verifica quando gli attaccanti prendono il controllo della tua sessione attiva con un'applicazione web. Sfruttano i cookie di sessione, piccoli frammenti di dati memorizzati sul tuo dispositivo dopo l'accesso. Questi cookie ti permettono di restare connesso senza reinserire le credenziali. Tuttavia, se gli attaccanti rubano questi cookie, possono impersonarti e ottenere accesso non autorizzato ai tuoi account.

Ecco alcuni metodi comuni che gli attaccanti usano per dirottare le sessioni:

• Furto dei token di sessione (cookie) dopo l'autenticazione dell'utente.
• Attacchi proxy adversary-in-the-middle (AitM) con strumenti come Evilginx per intercettare in tempo reale credenziali e codici MFA.
• Impiego di malware infostealer per estrarre i cookie di sessione dai dispositivi delle vittime.
• Furto di cookie tramite malware o phishing.
• Network sniffing su reti Wi-Fi non protette per intercettare i dati di sessione.
• Attacchi cross-site scripting (XSS) per rubare i cookie.
• Session hijacking TCP tramite la previsione dei numeri di sequenza.

Queste tecniche permettono agli attaccanti di aggirare sia le password sia le richieste MFA. Una volta in possesso del cookie di sessione, possono accedere al tuo account senza bisogno della password o del codice MFA.

Impatto sull'efficacia di MFA

L'efficacia di MFA si riduce drasticamente quando gli attaccanti riescono a sottrarre la tua sessione. Possono impersonarti ed eseguire azioni come se fossero te, aggirando tutti i controlli MFA. Ad esempio, se un attaccante ruba il tuo cookie di sessione, può accedere al tuo account senza dover inserire la password o il codice MFA.

Per proteggerti, evita di usare l'opzione «Rimani connesso» su dispositivi non attendibili. Se sospetti che il tuo account sia compromesso, forza immediatamente la disconnessione da tutte le sessioni. Questa azione può aiutare a mitigare i rischi associati al session hijacking.

Limiti dell'autenticazione a più fattori

Esperienza utente e sicurezza

Trovare l'equilibrio tra comodità e sicurezza

Quando usi l'autenticazione a più fattori (MFA) ti trovi spesso di fronte a un dilemma. Se da un lato MFA rafforza la sicurezza, dall'altro può complicare l'esperienza utente. Molti utenti trovano confusi i processi di configurazione e recupero. Questa complessità può generare frustrazione e portare ad abbandonare MFA del tutto. Di fatto, gli utenti abbandonano spesso MFA a causa di una cattiva esperienza utente, per fattori come:

• Complessità: configurare MFA può richiedere tempo e risultare confuso, soprattutto per chi non è esperto di tecnologia.
• Scomodità: le richieste di autenticazione ripetute possono frustrarti, con un conseguente calo nell'adozione.
• Scarsa guida: istruzioni insufficienti ti lasciano in difficoltà nel completare i passaggi di MFA.
• Resistenza degli utenti: il peso complessivo di MFA può spingerti a rifiutarlo o ad abbandonarlo.

Questi problemi di usabilità contribuiscono direttamente alla frustrazione degli utenti e all'abbandono dei sistemi MFA.

Problemi di conformità degli utenti

La conformità degli utenti è determinante per l'efficacia di MFA. Quando si oppone a MFA per una presunta scomodità o complessità, esponi te stesso e la tua organizzazione a rischi. Una scarsa conformità può portare a:

• Aggirare del tutto MFA.
• Resistenza alla sua implementazione, rendendo i sistemi vulnerabili agli attacchi basati sulle password.
• Utilizzo insufficiente o configurazione errata di MFA, con una riduzione dei suoi benefici in termini di protezione.

Carenze tecnologiche

Canali non sicuri

MFA si basa su vari canali di comunicazione, ma non tutti sono sicuri. Ad esempio, usare SMS per l'autenticazione può indebolire in modo significativo la sicurezza. Se gli attaccanti compromettono il tuo numero di telefono, possono intercettare i messaggi SMS, inclusi i codici MFA. Affidarsi solo alle password consente agli attaccanti di accedere agli account senza ulteriori barriere se le credenziali vengono compromesse.

Mancanza di standardizzazione

La mancanza di standardizzazione nelle implementazioni di MFA porta ad approcci frammentati su piattaforme diverse. Questa incoerenza compromette l'affidabilità di MFA. Ad esempio, settori come IoT ed E-Services adottano spesso protocolli MFA diversi, che possono creare vulnerabilità.

Questi limiti evidenziano le difficoltà che le organizzazioni incontrano quando implementano MFA. Capire questi problemi è essenziale per migliorare la tua postura di sicurezza.

Alternative a MFA

Nel panorama digitale di oggi, affidarsi esclusivamente all'autenticazione a più fattori (MFA) può lasciarti vulnerabile. Valuta invece di implementare misure di sicurezza alternative che rafforzino la tua protezione. Ecco alcune opzioni efficaci:

Gestori di password

Vantaggi dell'uso dei gestori di password

I gestori di password semplificano la tua sicurezza online. Memorizzano e cifrano le password, rendendo facile usare password uniche e complesse per ogni account. Questo riduce il rischio di furto di credenziali e di riutilizzo delle password.

Come migliorano la sicurezza

Usando un gestore di password puoi generare automaticamente password robuste. Questo elimina la necessità di ricordare più password, permettendoti di concentrarti sulla sicurezza invece che sulla memorizzazione. Inoltre, molti gestori di password offrono funzioni come la condivisione delle password e gli avvisi in caso di violazione, che rafforzano ulteriormente la sicurezza della tua identità.

Autenticazione biometrica

Tipi di metodi biometrici

L'autenticazione biometrica utilizza caratteristiche fisiche uniche per verificare la tua identità. I metodi più comuni includono:

• Scansione dell'impronta digitale
• Scansione del palmo
• Scansione della retina e dell'iride
• Riconoscimento vocale
• Rilevamento del respiro
• Confronto del DNA
• Scansione delle vene
• Riconoscimento dell'andatura

Questi metodi sono ampiamente adottati in settori come la sanità e la manifattura, soprattutto dove i dispositivi condivisi sono comuni.

Pro e contro della sicurezza biometrica

L'autenticazione biometrica offre diversi vantaggi:

1. Sicurezza elevata e minor rischio di furto d'identità.
2. Comodità: non devi più ricordare le password.
3. Migliore esperienza utente: accesso rapido a dispositivi o servizi.

Ci sono tuttavia anche degli svantaggi:

Sebbene i metodi biometrici rafforzino la sicurezza, sollevano anche preoccupazioni in merito alla privacy dei dati e alle possibili violazioni.

Modello di sicurezza Zero Trust

Principi dello Zero Trust

Il modello di sicurezza zero trust si basa sul principio di «non fidarti mai, verifica sempre». Questo approccio richiede un'autenticazione e un'autorizzazione rigorose per ogni richiesta di accesso. I principi chiave includono:

• Non presumere alcuna fiducia implicita per l'accesso alla rete.
• Adotta più misure di protezione, come la cifratura.
• Limita rigorosamente l'accesso ai dati secondo il criterio del need-to-know.

Implementare Zero Trust nelle organizzazioni

Le organizzazioni possono implementare lo zero trust verificando continuamente l'identità degli utenti e limitando l'accesso agli utenti e alle risorse approvati. Questo modello enfatizza l'autenticazione e l'autorizzazione basate sull'identità per tutte le connessioni. Monitorando il comportamento degli utenti e lo stato di salute dei dispositivi, le organizzazioni possono autorizzare dinamicamente l'accesso, riducendo la dipendenza da MFA come unica misura di sicurezza.

MFA presenta vulnerabilità e limiti significativi che devi riconoscere. Gli attaccanti possono sfruttare le pagine di accesso false per rubare le tue credenziali, minando l'efficacia di MFA. Inoltre, il 61% delle organizzazioni ha utenti root senza MFA, a conferma dei rischi di affidarsi esclusivamente a questo metodo.

Per proteggere i tuoi dati, adotta un approccio proattivo che preveda più livelli di sicurezza. Valuta l'implementazione di:

• Controlli di accesso basati sui ruoli per limitare l'esposizione dei dati.
• Conformità a normative come HIPAA e GDPR per un'autenticazione robusta.
• Monitoraggio continuo dell'attività di accesso per individuare comportamenti sospetti.

Diversificando le misure di sicurezza, puoi proteggere meglio le tue informazioni sensibili.

Domande frequenti

Che cos'è MFA?

MFA, ovvero Multi-Factor Authentication, aggiunge un ulteriore livello di sicurezza richiedendo due o più metodi di verifica. Questi metodi possono includere qualcosa che conosci (come una password), qualcosa che possiedi (come un telefono) o qualcosa che sei (come un'impronta digitale).

In che modo il phishing aggira MFA?

Gli attacchi di phishing ti inducono a rivelare le tue credenziali o i codici MFA. Gli aggressori possono usare tecniche come il phishing adversary-in-the-middle per intercettare sia la password sia il token MFA, accedendo così ai tuoi account senza dover superare MFA.

Che cos'è un attacco di consenso OAuth?

Un attacco di consenso OAuth si verifica quando gli aggressori ti manipolano per concedere autorizzazioni a applicazioni dannose. Una volta concesso il consenso, ottengono token di accesso che consentono loro di accedere ai tuoi dati senza dover superare MFA.

Perché lo SIM swapping è pericoloso?

Lo SIM swapping consente agli aggressori di prendere il controllo del tuo numero di telefono. Possono intercettare i messaggi SMS, inclusi i codici MFA, e ciò consente loro di aggirare MFA e accedere ai tuoi account senza che tu te ne accorga.

Come funziona il session hijacking?

Il session hijacking si verifica quando gli aggressori rubano i cookie di sessione dopo che hai effettuato l'accesso. Possono farsi passare per te e accedere ai tuoi account senza bisogno della password o del codice MFA, vanificando l'efficacia di MFA.

Quali sono alcune alternative a MFA?

Tra le alternative a MFA ci sono l'uso di gestori di password, l'autenticazione biometrica e l'adozione di un modello di sicurezza zero trust. Questi metodi possono rafforzare la tua postura di sicurezza e ridurre la dipendenza dal solo MFA.

Posso affidarmi esclusivamente alle password per la sicurezza?

No, affidarsi solo alle password è rischioso. Le password possono essere rubate o indovinate. Implementare misure di sicurezza aggiuntive, come MFA o gestori di password, migliora sensibilmente la protezione da accessi non autorizzati.

Come posso migliorare la mia postura di sicurezza?

Per rafforzare la sicurezza, valuta l'uso di password robuste e uniche, attiva MFA ove possibile e monitora regolarmente i tuoi account alla ricerca di attività sospette. Adottare un approccio di sicurezza a più livelli è essenziale per proteggere i tuoi dati.

Conclusione

Come abbiamo esplorato in tutto l'articolo, considerare l'autenticazione a più fattori una soluzione miracolosa e impenetrabile è un errore pericoloso. Tra le sofisticate campagne di phishing AiTM, lo SIM swapping senza scrupoli, il session hijacking e i subdoli exploit del consenso OAuth, gli aggressori hanno trovato molti modi per superare con facilità i tradizionali guardiani di MFA. MFA resta uno strumento fondamentale nel tuo kit di sicurezza, ma è solo uno strato di un puzzle molto più ampio. Per proteggere davvero i tuoi asset digitali, devi adottare una mentalità di difesa in profondità, combinare metodi di autenticazione robusti con gestori di password affidabili e orientarti verso un'architettura zero trust.

Se vuoi approfondire come avvengono gli exploit moderni dell'identità, in particolare come i malintenzionati sfruttano le autorizzazioni delle applicazioni per mantenere l'accesso a lungo termine, dovresti assolutamente ascoltare l'episodio del podcast correlato. Per l'analisi completa, vai su Stop OAuth Consent Attacks in Microsoft Entra ID. Stai al sicuro là fuori, continua a metterti in discussione e ci sentiamo nel prossimo episodio!