L'MFA può essere violata? Spiegazione di 8 tecniche comuni di bypass dell'MFA

L'MFA può essere violata. Scopri 8 tecniche di bypass dell'MFA utilizzate oggi dagli attaccanti, quali metodi sono più vulnerabili e come rafforzare la tua implementazione contro di esse.

MFA può essere violata?

L'autenticazione a più fattori (MFA) è il controllo su cui la maggior parte dei team fa affidamento per impedire che una password rubata si trasformi in una violazione. E gli attaccanti hanno passato anni a imparare come aggirarla. Quindi, la MFA può essere violata? Sì. La MFA aumenta il costo di un attacco, ma non lo elimina. 

Il problema non è nel concetto di MFA. La maggior parte delle implementazioni si basa su fattori che gli attaccanti hanno imparato a intercettare, reindirizzare o aggirare tramite ingegneria sociale. I codici SMS possono essere reindirizzati. Le notifiche push possono essere bombardate. I token di sessione possono essere rubati dopo il completamento di un'autenticazione legittima. Il personale dell'help desk può essere indotto a reimpostare completamente la MFA. Il Data Breach Investigations Report (DBIR) 2025 di Verizon ha rilevato che i modelli di accesso sospetti sono un segnale ricorrente di furto di credenziali e attività di bypass della MFA.

Nel dicembre 2024, l'FBI e la Cybersecurity and Infrastructure Security Agency (CISA) hanno compiuto il passo insolito di consigliare a organizzazioni e utenti di abbandonare la MFA basata su SMS, citando uno sfruttamento attivo legato alla campagna di spionaggio Salt Typhoon che prendeva di mira l'infrastruttura delle telecomunicazioni statunitensi. La guida mobile di CISA raccomanda l'autenticazione basata su Fast Identity Online (FIDO) come la forma più forte di MFA efficace contro le tecniche di bypass.

Comprendere come funziona ogni tecnica di bypass è il primo passo per costruire difese efficaci.

8 tecniche comuni di bypass della MFA

Ciascuna tecnica riportata di seguito prende di mira una diversa debolezza nelle implementazioni MFA, dall'errore umano ai difetti a livello di protocollo. Alcune richiedono ingegneria sociale. Altre operano senza alcun intervento umano.

1. Bombardamento di prompt MFA (push fatigue)

L'attaccante ottiene credenziali valide tramite phishing o violazioni dei dati, quindi attiva ripetute notifiche push MFA finché l'utente non ne approva una per frustrazione. Secondo CISA AA23-320A, Scattered Spider "invia continuamente richieste di notifica MFA per indurre i dipendenti ad accettare la richiesta e ottenere accesso alla rete bersaglio." APT29 ha utilizzato anch'esso questa tecnica.

Cosa cercare nel tuo SOC: richieste MFA ripetute verso un singolo account in un breve periodo, tentativi di accesso da posizioni insolite e sequenze di autenticazioni non riuscite seguite da un'approvazione improvvisa.

2. Hijacking della sessione e furto di token

Questa tecnica prende di mira ciò che accade dopo l'autenticazione. Gli attaccanti sfruttano vulnerabilità nell'infrastruttura di accesso remoto, nelle VPN, nei web gateway o nei server applicativi per estrarre token di sessione validi. Riutilizzano questi token per stabilire sessioni autenticate senza mai attivare una richiesta MFA. Gli affiliati LockBit lo hanno dimostrato tramite la vulnerabilità CitrixBleed (CVE-2023-4966), raccogliendo token di sessione da appliance Citrix NetScaler per bypassare completamente la MFA.

Per vedere come si collegano il dirottamento degli account e l'abuso dei token di sessione, la nostra guida illustra i meccanismi e i controlli di rilevamento che lo intercettano.

Cosa cercare nel tuo SOC: sessioni provenienti da località geograficamente impossibili, più sessioni simultanee per un singolo utente e flussi di autenticazione che saltano i prompt MFA previsti.

3. SIM swapping

L'attaccante raccoglie informazioni di identificazione personale (PII) tramite ingegneria sociale o open-source intelligence (OSINT), quindi contatta l'operatore mobile per trasferire il numero di telefono della vittima su una SIM controllata dall'attaccante. Tutti i codici MFA basati su SMS vengono ora instradati verso l'attaccante. Secondo CISA AA23-320A, Scattered Spider impiega sistematicamente il SIM swapping come parte delle operazioni di estorsione dei dati.

Cosa cercare nel tuo SOC: perdita improvvisa del servizio mobile o messaggi inattesi di disattivazione della SIM da parte dell'operatore, codici MFA via SMS utilizzati da dispositivi diversi da quelli registrati in precedenza e accessi all'account che si verificano immediatamente dopo attività di SIM swap.

4. Phishing Adversary-in-the-Middle (AiTM)

L'attaccante posiziona un server reverse proxy tra te e un portale di autenticazione legittimo. Inserisci le tue credenziali e completi la tua verifica MFA. Il proxy cattura entrambi. L'attaccante usa il token di sessione rubato per entrare direttamente. 

Le piattaforme Phishing-as-a-Service hanno contribuito a rendere questa tecnica una commodity. I kit di phishing reverse proxy ora sono specializzati in attacchi AiTM contro i comuni flussi di identità cloud. Kit come Mamba 2FA prendono di mira le principali piattaforme di identità cloud e implementano l'identificazione anti-bot per eludere le scansioni di sicurezza.

La nostra guida sugli attacchi adversary-in-the-middle spiega in che modo AiTM differisce dalle classiche tecniche man-in-the-middle e come individuare indicatori nel tuo ambiente.

Cosa cercare nel tuo SOC: richieste di autenticazione provenienti da infrastrutture virtual private server (VPS) o proxy, registrazioni di domini sospette che imitano i tuoi portali di accesso e brevi intervalli tra l'inserimento delle credenziali e l'accesso da un IP diverso.

5. Ingegneria sociale degli help desk

Secondo CISA AA23-320A, Scattered Spider esegue un attacco in più fasi contro il supporto IT: prima effettua chiamate di ricognizione per apprendere le procedure di reimpostazione delle password, poi si spaccia per dipendenti per convincere il personale dell'help desk a reimpostare i token MFA. Dall'inizio del 2023, questa tecnica ha consentito l'accesso a "account single sign-on (SSO) e suite di applicazioni cloud." Gli help desk in appalto o esternalizzati sono particolarmente vulnerabili a causa di verifiche meno rigorose.

Cosa cercare nel tuo SOC: volumi insoliti di richieste di reimpostazione MFA per account privilegiati, soprattutto fuori dall'orario lavorativo, e installazione di strumenti di accesso remoto (TeamViewer, AnyDesk) a seguito di interazioni con l'help desk.

6. Sfruttamento del protocollo SS7

Signaling System 7, progettato negli anni '70, rimane la spina dorsale delle comunicazioni mobili globali. Gli attaccanti che ottengono accesso alle reti SS7 possono reindirizzare il traffico SMS e intercettare i codici MFA in tempo reale. L'abuso di SS7 può intercettare i codici e consentire frodi senza distribuire malware, rendendolo un rischio concreto per qualsiasi organizzazione che si affidi alla MFA basata su SMS.

Dopo la campagna Salt Typhoon, la guida del SANS Institute ha confermato che CISA "ha dichiarato senza mezzi termini: 'Non utilizzare SMS come secondo fattore per l'autenticazione.'"

7. Toolkit di phishing in tempo reale

Toolkit come EvilProxy, Evilginx, Sneaky2FA e WikiKit operano come piattaforme di replay in tempo reale di credenziali e sessioni. Catturano credenziali e token di sessione, quindi li riutilizzano prima che utenti o team di sicurezza rilevino anomalie. La rapidità della finestra di replay crea una corsa che gli strumenti basati su firme faticano a sostenere.

Il phishing si è evoluto in una minaccia operativa più ampia costruita attorno all'abuso della MFA, a strumenti modulari e a infrastrutture riutilizzabili. I ricercatori sulle minacce continuano a documentare come gli attaccanti confezionano questi flussi di lavoro per il riutilizzo e la distribuzione.

8. OAuth e phishing del consenso

L'attaccante registra un'applicazione dannosa presso un provider OAuth, quindi induce un utente a concederle autorizzazioni. L'applicazione riceve token OAuth legittimi con accesso concesso dall'utente, bypassando completamente la MFA. I meccanismi di refresh token consentono una persistenza a lungo termine che spesso sopravvive alle reimpostazioni della password.

Da lì, gli attaccanti manipolano service principal, creano applicazioni OAuth rogue ed esfiltrano dati sensibili tramite API cloud e piattaforme di collaborazione. Il gruppo sponsorizzato dallo stato cinese Silk Typhoon ha utilizzato questa tecnica per spostarsi inosservato tra gli ambienti dei clienti.

Cosa cercare nel tuo SOC: nuove registrazioni di applicazioni OAuth che richiedono autorizzazioni ad alto privilegio, token SAML emessi senza MFA nei log di identità e modelli insoliti di chiamate API verso API cloud o piattaforme di collaborazione.

Queste otto tecniche comprendono ingegneria sociale, sfruttamento di protocolli e abuso post-autenticazione. Il metodo MFA che implementi determina a quante di esse la tua organizzazione è esposta.

Quali metodi MFA sono più vulnerabili al bypass?

Non tutti i metodi MFA sono esposti allo stesso modo alle otto tecniche sopra descritte. La tabella seguente mette in relazione cinque implementazioni MFA comuni con le categorie di bypass che possono sconfiggerle, sulla base della guida CISA resistente al phishing e delle classificazioni della FIDO Alliance.

Metodo MFA	Vulnerabile a	Resistente al phishing?
Codici SMS / vocali	SIM swapping, sfruttamento SS7, phishing AiTM, toolkit di phishing in tempo reale	No
App TOTP (Google Authenticator, Authy)	phishing AiTM, toolkit di phishing in tempo reale	No
Notifiche push	prompt bombing, phishing AiTM	No
Push con corrispondenza numerica	phishing AiTM (il proxy inoltra il numero in tempo reale)	No
Chiavi di sicurezza FIDO2 / WebAuthn	Nessuna delle otto tecniche sopra	Sì

Il modello è chiaro: ogni metodo costruito su segreti condivisi o prompt approvati dall'utente cede ad almeno una tecnica di bypass. Solo l'autenticazione crittografica resiste all'intero elenco.

Perché la MFA basata su segreti condivisi fallisce

I primi quattro metodi si basano tutti su segreti condivisi o prompt approvati dall'utente, esattamente ciò che un attaccante può intercettare o inoltrare. Le chiavi FIDO2 funzionano secondo un principio completamente diverso. La chiave privata non lascia mai il tuo dispositivo e ogni richiesta di autenticazione è vincolata crittograficamente al dominio reale. Un proxy di phishing non può falsificare una firma valida, perché il dominio non corrisponde mai. Secondo NIST 800-63-4, solo gli autenticatori che utilizzano "processi crittografici a chiave asimmetrica" si qualificano per il livello di garanzia più elevato.

Se oggi utilizzi MFA basata su SMS o push, puoi ridurre immediatamente il rischio. Sposta prima gli account privilegiati su chiavi FIDO2, poi fornisci agli utenti standard autenticatori di piattaforma come Windows Hello e Apple Touch ID. Si tratta di un'implementazione graduale, non di una sostituzione totale, ed è il percorso più pratico verso la resistenza al phishing senza interrompere una sola giornata lavorativa.

Esempi reali di attacchi di bypass della MFA

Le tecniche sopra descritte non sono teoriche. Le violazioni reali mostrano come gli attaccanti concatenano tecniche di bypass della MFA in attacchi multi-fase, spesso entro poche ore dall'ottenimento dell'accesso iniziale.

1. MGM Resorts (2023). Scattered Spider ha compromesso l'ambiente di MGM chiamando l'help desk, impersonando un dipendente e convincendo il personale a reimpostare le credenziali MFA. L'attacco ha utilizzato LinkedIn per identificare il personale IT e raccogliere i dettagli necessari per superare i controlli di verifica. L'interruzione si è estesa alle operazioni alberghiere, ai sistemi del casinò e ai dati dei clienti, con danni riportati superiori a 100 milioni di dollari secondo il deposito SEC 8-K di MGM.
2. Uber (2022). Un attaccante ha acquistato credenziali rubate da un marketplace del dark web, quindi ha lanciato una campagna prolungata di prompt bombing MFA contro un contractor di Uber. Dopo che il contractor ha approvato una notifica push per interrompere gli avvisi, l'attaccante si è spostato lateralmente nei sistemi interni di Uber, inclusi Slack, AWS e Google Workspace, nel giro di poche ore. L'aggiornamento ufficiale sulla sicurezza di Uber ha confermato che le credenziali del contractor erano probabilmente state acquistate sul dark web a seguito di un'infezione malware del suo dispositivo personale.
3. Salt Typhoon (2024). Il gruppo sponsorizzato dallo stato cinese ha sfruttato debolezze del protocollo SS7 per intercettare codici MFA basati su SMS che prendevano di mira l'infrastruttura delle telecomunicazioni statunitensi. L'FBI e CISA hanno emesso una guida congiunta consigliando alle organizzazioni di smettere di utilizzare la MFA basata su SMS in risposta diretta allo sfruttamento attivo legato a questa campagna.
4. Storm-0558 (2023). Microsoft ha reso noto che l'attore di minaccia affiliato alla Cina Storm-0558 ha falsificato token di autenticazione utilizzando una chiave di firma Microsoft acquisita per accedere ad account email cloud in più organizzazioni clienti. L'attacco ha bypassato i controlli MFA standard operando a livello di token anziché a livello di credenziali, rendendo irrilevante la richiesta MFA iniziale.

Ogni incidente ha sfruttato una tecnica diversa dall'elenco sopra. Il filo conduttore costante: gli attaccanti adattano il loro metodo all'anello più debole dell'implementazione MFA di ciascuna organizzazione.

Indicatori di tentativi di bypass della MFA

Il bypass della MFA lascia tracce nei log di identità, nella telemetria degli endpoint e nell'attività di rete. Intercetta questi segnali in anticipo e potrai rispondere prima che un attaccante si stabilizzi.

Anomalie di autenticazione:

• Accessi da località impossibili entro pochi minuti da un'autenticazione riuscita in un'altra regione
• Più sessioni attive simultanee per un singolo account utente
• Flussi di autenticazione che si completano senza una corrispondente richiesta MFA nei log di identità
• Richieste MFA approvate fuori dall'orario lavorativo o da dispositivi non presenti nell'elenco dei dispositivi registrati

Modelli di identità e accesso:

• Picco improvviso nelle richieste di reimpostazione MFA per account privilegiati
• Nuove registrazioni di applicazioni OAuth che richiedono autorizzazioni ad alto privilegio
• Token SAML emessi senza contesto MFA nei log dell'identity provider
• Ticket help desk che richiedono bypass MFA o reimpostazioni delle credenziali seguiti immediatamente da accesso all'account da un nuovo dispositivo

Segnali di rete ed endpoint:

• Attività di sessione proveniente da infrastrutture VPS, proxy di anonimizzazione o nodi di uscita Tor
• Brevi intervalli di tempo tra l'invio delle credenziali e il successivo accesso da un IP diverso
• Movimento laterale che inizia entro pochi minuti da un evento di autenticazione riuscito
• Nuovi strumenti di accesso remoto installati poco dopo il contatto con l'help desk

Questi indicatori raramente compaiono isolatamente durante un tentativo di bypass. Correlare gli eventi di autenticazione con i segnali di endpoint e rete è ciò che distingue un vero rilevamento di bypass da un falso positivo.

Come prevenire gli attacchi di bypass della MFA

Conoscere le tecniche è metà dell'equazione. Ecco la parte incoraggiante: ogni lacuna di cui hai appena letto può essere chiusa, e le azioni per farlo sono ben comprese.

• Implementa MFA resistente al phishing come controllo primario. Secondo la guida CISA, solo l'autenticazione FIDO2/WebAuthn e quella basata su PKI si qualificano come resistenti al phishing. I codici SMS, le app time-based one-time password (TOTP), i link email e le notifiche push, anche con corrispondenza numerica, sono esplicitamente esclusi. CISA afferma che i metodi MFA legacy sono soggetti a phishing, SIM swap, problemi SS7 e prompt bombing. Inizia l'implementazione con i tuoi account a più alto privilegio: amministratori di dominio, amministratori cloud e team di sicurezza.
• Applica il token binding e controlli sul ciclo di vita della sessione. NIST IR 8587 fornisce indicazioni sul ciclo di vita dei token: isola le chiavi di firma dell'identity provider, ruota le chiavi in base al livello di rischio e applica timeout di sessione allineati ai livelli di garanzia NIST. Per gli accessi privilegiati, limita sessioni e finestre di inattività in linea con i requisiti di garanzia NIST più elevati.
• Implementa policy di accesso condizionale. Richiedi una postura del dispositivo conforme e MFA resistente al phishing per tutto l'accesso alle applicazioni cloud. Secondo la guida della Cloud Security Alliance (CSA), incorpora posizione, conformità del dispositivo, contesto del ruolo e livello di garanzia MFA in ogni decisione di accesso.
• Blocca i protocolli di autenticazione legacy. La CISA Binding Operational Directive (BOD) 25-01 impone il blocco dei protocolli legacy perché non possono supportare la MFA. Qualsiasi flusso di autenticazione legacy rappresenta un percorso di bypass persistente, anche quando i flussi moderni applicano una MFA forte.
• Rafforza i processi dell'help desk. I controlli tecnici falliscono quando un social engineer convince il tuo help desk a reimpostarli. Richiedi verifica dell'identità su più canali per tutte le reimpostazioni MFA sugli account privilegiati. Implementa procedure di callback out-of-band. Forma il personale dell'help desk a riconoscere i modelli di ricognizione utilizzati da Scattered Spider.

Anche con un rafforzamento efficace, i tentativi di bypass della MFA continueranno a verificarsi. La domanda diventa quanto velocemente riesci a trovarli e fermarli quando accadono.

Bypass della MFA negli ambienti cloud e di identità

Il cloud cambia la forma del problema. Introduce rischi di bypass della MFA che le configurazioni on-premises non hanno mai dovuto affrontare.

• Concatenazione del single sign-on (SSO). Quando una sessione SSO compromessa concede accesso a decine di applicazioni downstream, un singolo bypass MFA riuscito si estende immediatamente. Un attaccante che ruba un token di sessione Okta o Microsoft Entra può spostarsi nell'intero portafoglio di applicazioni connesse senza attivare ulteriori richieste MFA su alcuna piattaforma integrata.
• Lacune nell'accesso condizionale. Molte organizzazioni applicano MFA resistente al phishing per le principali applicazioni cloud ma lasciano lacune nei connettori delle applicazioni legacy, negli endpoint API o nelle configurazioni dei service principal. Gli attaccanti identificano e sfruttano queste lacune. CISA BOD 25-01 impone il blocco dei protocolli di autenticazione legacy proprio perché bypassano le policy di accesso condizionale.
• Abuso di service principal e OAuth. Gli ambienti cloud di identità si affidano a service account e token OAuth per automazione e integrazioni. Queste identità macchina in genere operano senza controlli MFA. Gli attaccanti compromettono i service principal, concedono loro autorizzazioni elevate tramite phishing del consenso OAuth e usano tali autorizzazioni per mantenere la persistenza nell'ambiente molto tempo dopo la rotazione delle credenziali di accesso iniziali.
• Identità federata e manipolazione SAML. L'autenticazione federata tra identity provider e piattaforme cloud crea ulteriori superfici di attacco. Un attaccante che compromette una chiave di firma, come dimostrato da Storm-0558 nel 2023, può falsificare asserzioni SAML e accedere a risorse cloud senza alcuna interazione MFA.

Proteggere l'identità nel cloud richiede di applicare gli stessi controlli MFA resistenti al phishing ai service account e ai flussi OAuth che applichi agli utenti umani. L'identità macchina è la superficie di attacco in più rapida crescita negli ambienti cloud ed è quella che più spesso viene lasciata fuori dal tuo perimetro MFA.

Come SentinelOne aiuta a rilevare gli attacchi di bypass della MFA

Gli attacchi di bypass della MFA vivono nello spazio tra autenticazione e accesso. Il solo monitoraggio dell'identity provider lascia lacune che gli attaccanti sfruttano. La SingularityTM Platform di SentinelOne colma queste lacune correlando eventi di autenticazione con comportamento degli endpoint, attività di rete e azioni degli utenti nel tuo ambiente.

Singularity Identity estende la protezione alla tua infrastruttura di identità. Intercetta in tempo reale gli attacchi in corso contro Active Directory e identity provider cloud come Entra ID, Ping, Okta, Duo e SecureAuth, on-premises e nel cloud. L'AI comportamentale segnala modelli di viaggio impossibili, uso improprio delle credenziali ed escalation dei privilegi collegati alla manipolazione dei token. Quando l'attività di identità si allinea con l'abuso di sessione, la piattaforma interviene. Termina i processi dannosi, chiude le sessioni compromesse e isola gli endpoint interessati.

Singularity Identity esegue inoltre scansioni continue alla ricerca di credenziali deboli, esposte e compromesse, offrendo risposte autonome per fermare gli attacchi basati su credenziali prima che raggiungano il tuo ambiente.

Prenota una demo con SentinelOne per vedere come puoi trovare e fermare gli attacchi di bypass della MFA nel tuo ambiente.

Punti chiave

La MFA rimane essenziale, ma non è inviolabile. Otto tecniche di bypass distinte, dal prompt bombing al phishing del consenso OAuth, sfruttano le debolezze della MFA legacy. La strada da seguire è chiara: passare a una strategia progettata per questa minaccia. 

La MFA resistente al phishing (FIDO2/WebAuthn), abbinata al monitoraggio comportamentale che intercetta in tempo reale le anomalie post-autenticazione, può trasformare la MFA da responsabilità a vero vantaggio.

FAQ

Che cos'è l'autenticazione a più fattori (MFA)?

L'autenticazione a più fattori (MFA) è un metodo di sicurezza che richiede agli utenti di verificare la propria identità con due o più tipi distinti di prove prima di accedere a un sistema o a un'applicazione. 

Questi fattori rientrano in categorie: qualcosa che conosci (password, PIN), qualcosa che possiedi (chiavi di sicurezza, telefoni) e qualcosa che sei (impronte digitali, riconoscimento facciale). NIST 800-63-4 specifica che i fattori devono provenire da categorie diverse per essere considerati una vera MFA.

Perché l'MFA può essere aggirata?

L'MFA può essere aggirata perché la maggior parte delle implementazioni si basa su segreti condivisi o prompt approvati dall'utente, non sul binding crittografico. I codici SMS, le app TOTP e le notifiche push richiedono tutti la trasmissione o la conferma di un valore che un attaccante può intercettare, inoltrare o ottenere tramite ingegneria sociale. 

L'evento di autenticazione stesso può anche essere aggirato rubando i token di sessione dopo il completamento di un accesso legittimo, rendendo irrilevante la verifica MFA. Solo FIDO2/WebAuthn elimina questa classe di aggiramento vincolando crittograficamente l'autenticazione al dominio legittimo, rendendo tecnicamente impossibili l'inoltro e l'intercettazione

Qual è la differenza tra MFA resistente al phishing e MFA standard?

L'MFA standard (codici SMS, notifiche push, app TOTP) si basa su segreti condivisi che gli aggressori possono intercettare, reindirizzare o riprodurre. L'MFA resistente al phishing utilizza un'associazione crittografica tra l'autenticatore e il dominio legittimo. 

I metodi basati su FIDO2/WebAuthn e PKI (PIV/CAC) verificano l'identità del server prima di rilasciare le credenziali, rendendo tecnicamente impossibili gli attacchi di relay e AiTM. CISA, NIST e la FIDO Alliance classificano solo questi due metodi come resistenti al phishing.

Come fanno gli attaccanti ad aggirare l'MFA anche quando la corrispondenza numerica è abilitata?

La corrispondenza numerica blocca la push fatigue di base richiedendo agli utenti di inserire un numero visualizzato. Tuttavia, non blocca il phishing AiTM, in cui il proxy dell'attaccante inoltra il flusso di autenticazione reale in tempo reale. 

L'attaccante vede la stessa richiesta numerica e può inoltrarla alla vittima. CISA descrive la corrispondenza numerica come una misura temporanea mentre le organizzazioni passano a un'MFA resistente al phishing, non come una difesa permanente.

Quale tecnica di bypass dell'MFA è oggi la più comune?

Il furto di token e il dirottamento di sessione sono presentati nel Verizon 2025 DBIR come principali problematiche di bypass dell'MFA. Prendono di mira le sessioni successive all'autenticazione anziché l'evento di autenticazione stesso, rendendo irrilevante la richiesta MFA iniziale una volta acquisito un token di sessione valido. 

Per bloccare il furto di token è necessario il monitoraggio comportamentale dell'attività di sessione, dei modelli di viaggio impossibile e delle anomalie delle sessioni concorrenti.

Le aziende dovrebbero smettere del tutto di usare l'MFA basata su SMS?

Le organizzazioni dovrebbero abbandonare l'MFA basata su SMS. In seguito alla campagna Salt Typhoon, le linee guida di FBI e CISA hanno messo in guardia dal fare affidamento sugli SMS come secondo fattore. Diverse tecniche di attacco, tra cui lo sfruttamento di SS7, il SIM swapping e il phishing AiTM, possono compromettere l'MFA basata su SMS. 

Passa alle chiavi di sicurezza FIDO2 per gli account privilegiati e agli autenticatori di piattaforma associati all'hardware per gli utenti standard.

Quali tecniche MITRE ATT&CK corrispondono agli attacchi di bypass dell'MFA?

Le otto tecniche principali corrispondono a diversi ID ATT&CK: T1621 (MFA Request Generation) copre il prompt bombing e i flussi di phishing in tempo reale. T1550 (Use Alternate Authentication Material) copre il dirottamento della sessione. T1589 (Gather Victim Identity Information) supporta il SIM swapping. 

T1111 (MFA Interception) copre lo sfruttamento di SS7. T1566.004 (Spearphishing Voice) copre il social engineering dell'help desk. T1606 (Forge Web Credentials) copre il phishing del consenso OAuth.