L’Autenticazione a più fattori ci blinda davvero dai criminali informatici? Come difendersi dagli attacchi?

Secondo i dati del report del primo trimestre del 2024 di Cisco Talos Incident Response, quasi la metà degli incidenti di sicurezza informatica hanno riguardato l’autenticazione a più fattori. Nel 25% dei casi, la causa è stata l’accettazione da parte degli utenti di notifiche push fraudolente, mentre nel 21% è stata rilevata l’assenza di un’implementazione corretta dell’autenticazione. Nonostante negli ultimi anni ci siano stati molti progressi per quanto riguarda l’implementazione dell’autenticazione a più fattori all’interno delle aziende, i criminali informatici continuano a prendere di mira gli account protetti da questo tipo di sicurezza per poter accedere ai sistemi informativi aziendali.

Leggi anche: Intrauma, il Fondo Italiano d’Investimento completa aumento di capitale da 10 milioni. I dettagli

Gli attacchi MFA

La tipologia più comune di attacchi che Cisco Talos ha dovuto gestire ha utilizzato le notifiche push MFA non autorizzate da parte degli utenti. Questa situazione si verifica quando l’aggressore tenta di autenticarsi ripetutamente a un account utente con credenziali valide al fine di sommergere le vittime di notifiche push MFA fino a quando, per esasperazione, la vittima accetta permettendo l’accesso. Cisco Duo ha rilevato, da giugno 2023 a maggio 2024, circa 15.000 attacchi basati su notifiche push, soprattutto all’inizio della giornata lavorativa, quando gli utenti si autenticano per accedere ai sistemi aziendali.

Come i criminali accedono nei sistemi altrui?

Oltre alle notifiche push, i metodi principali per rubare informazioni sono:

1. Token di autenticazione rubati: i criminali utilizzano i token di sessione rubati ottenendo un’identità legittima che gli permette di accedere ai sistemi aziendali;
2. Ingegneria sociale del reparto IT. In genere, un aggressore si spaccia per qualcuno che la vittima conosce e cerca di trasmettere un senso di urgenza e importanza alle sue comunicazioni per incoraggiarlo a cliccare sul suo messaggio. Una volta ottenute le credenziali, il criminale le utilizza per entrare nei sistemi informativi e per aggiungere nuovi dispositivi abilitati all’autenticazione a più fattori;
3. Compromissione di un fornitore dell’azienda presa di mira. Gli aggressori prendono di mira un fornitore per accedere all’MFA utilizzando il dispositivo compromesso;
4. Compromissione di un singolo endpoint. Il fine è quello di aumentare i privilegi a livello di amministratore e quindi disattivare la protezione MFA;
5. Attacchi As a Service. I criminali utilizzano applicazioni software erogate attraverso il dark web e, una volta ottenuto l’accesso ai sistemi informatici, utilizzano script per disabilitare gli strumenti di sicurezza.

Come difendersi?

Cisco Talos raccomanda di:

• Abilitare il number matching nelle applicazioni MFA per fornire un ulteriore livello di sicurezza e impedire agli utenti di accettare notifiche push dannose;
• Implementare l’autenticazione a più fattori su tutti i servizi critici, inclusi tutti i servizi di accesso remoto e di gestione dell’accesso all’identità;
• Configurare un alert per l’autenticazione al fine di identificare rapidamente anomalie e modifiche nei criteri di autenticazione a più fattori;
• Investire nella formazione degli utenti per aggiornarli sul panorama delle minacce informatiche e aiutarli a essere vigili, segnalando tempestivamente situazioni sospette.