Il phishing può aggirare l'autenticazione a più fattori?

Sì, alcuni tipi di MFA si possono aggirare, ed è per questo che il tipo conta. In un attacco adversary-in-the-middle la pagina di phishing si mette tra lei e la vera pagina di accesso: inoltra in tempo reale al servizio vero la password e il codice monouso o l'approvazione push, poi tiene il cookie di sessione che il servizio rimanda indietro. Con quel cookie l'attaccante è dentro senza bisogno di nuovo della password o della MFA. I codici SMS, i codici delle app di autenticazione e le semplici approvazioni push sono tutti esposti. La MFA resistente al phishing, cioè le chiavi di sicurezza FIDO2 e le passkey, non lo è, perché la chiave verifica l'indirizzo web e non risponde a un sito falso. Una MFA di qualsiasi tipo resta comunque molto meglio di nessuna. Passi pratici: dare per primi passkey o chiavi di sicurezza ad amministratori e amministrazione finanziaria, attivare criteri di accesso che segnalano dispositivi e luoghi insoliti e, dopo ogni incidente di phishing, revocare le sessioni, non solo le password.

← Tutte le 29 domande su Phishing e cosa fare dopoTutti i temi