Come prevenire gli attacchi MitM?

Ecco un modo semplice per visualizzare un attacco man-in-the-middle. Immagina di andare a un bancomat e che qualcuno osservi i dati della tua carta sbirciando da sopra la tua spalla. Non ti accorgi che si trova dietro di te. Memorizza i tuoi dati, se ne va e in seguito preleva denaro usando le informazioni della tua carta da un altro luogo. Potrebbe anche installare un dispositivo tra il bancomat e l’host per rubare i tuoi dati quando strisci la carta, senza che tu lo sappia! Questo è un classico attacco MitM in azione. Un altro esempio è uno sconosciuto che ascolta di nascosto una chat con il tuo amico e usa le tue informazioni sensibili contro di voi.

Gli attacchi MitM non sono solo fisici, si verificano molto spesso anche nel cloud e nel mondo della cybersicurezza. In questa guida spiegheremo come prevenire gli attacchi MitM e cosa puoi fare al riguardo.

Cosa sono gli attacchi Man-in-the-Middle?

Un attacco man-in-the-middle (MitM) si verifica quando un attore della minaccia intercetta la comunicazione tra due parti che non sono consapevoli della sua presenza. L’hacker ascolta la loro conversazione ed è in grado di rubare dati sensibili come informazioni finanziarie, credenziali di accesso e qualsiasi altro dettaglio riservato scambiato tra loro.

La maggior parte degli attacchi man-in-the-middle (MitM) avviene su reti WiFi pubbliche non protette tramite phishing e web spoofing.

Perché è importante prevenire gli attacchi Man-in-the-Middle?

In un attacco MitM, non ti accorgerai che l’attaccante ha compromesso la tua comunicazione. È silenzioso e l’obiettivo del criminale è restare nascosto e rubare quante più informazioni possibile ascoltando la tua conversazione con altre parti e agenti.

Gli attacchi MitM sono pericolosi perché possono colpire qualsiasi persona, azienda, organizzazione e risorsa. Il movente va oltre il guadagno finanziario e, se non fai attenzione, potresti rischiare di perdere milioni di record a causa di una singola violazione dei dati.

I settori costantemente presi di mira dagli attacchi MitM includono il settore bancario, le aziende fintech e sanitarie e i verticali dell’IoT industriale. Anche i magazzini di produzione, i sistemi energetici e le infrastrutture critiche non sono al sicuro.

Secondo il report di SCORE e SBA, gli attacchi MitM rappresentano il 43% dei cyber attacchi nel mondo! Le piccole e medie imprese sono i loro obiettivi più grandi e più frequenti.

Come funzionano gli attacchi Man-in-the-Middle (MitM)

Ecco come si presenta un tipico attacco Man-in-the-Middle (MitM):

• La Persona A invia un messaggio alla Persona B
• Il "Man-in-the-middle" intercetta il messaggio senza che né la persona A né la persona B lo sappiano
• Può modificare il messaggio, il suo contenuto o eliminarlo del tutto senza lasciare traccia della propria attività né farlo sapere alle vittime

In breve, un attacco Man-in-the-Middle sfrutta vulnerabilità di rete, web e del browser per intercettare o deviare traffico legittimo. Può rubare informazioni alle vittime e persino sfruttare debolezze nei protocolli di sicurezza.

Segnali di avvertimento di un potenziale attacco MitM

Ecco alcuni segnali che indicano se sei vittima di un attacco MitM:

Avvisi del certificato del browser

Quando visiti un sito web, il browser controlla il certificato di sicurezza. Se qualcosa non va, te lo segnala. Un avviso sul certificato significa che l’identità del sito non corrisponde a quella prevista oppure che il certificato è scaduto.

I siti legittimi non generano errori di certificato. Se improvvisamente vedi questi avvisi su un sito che visiti regolarmente, qualcuno potrebbe intercettare la tua connessione. Sta usando un certificato falso per posizionarsi tra te e il server reale. Un certificato non corrispondente o un errore di certificato non valido è un campanello d’allarme che indica che il traffico viene intercettato.

URL strani

Gli attaccanti usano URL che imitano siti web legittimi. Il dominio potrebbe essere scritto in modo leggermente diverso, usare un’estensione diversa o avere un carattere in più. Your-bank.com invece di yourbank.com. Amaz0n.com con uno zero al posto della o. Queste piccole differenze sono facili da non notare se non presti attenzione.

Controlla l’URL nella barra degli indirizzi prima di accedere o inserire informazioni sensibili. Il phishing spesso funziona insieme agli attacchi MitM: l’attaccante ti mostra una falsa pagina di accesso mentre intercetta anche il tuo traffico reale. URL molto simili ma non del tutto corretti spesso indicano che stai venendo reindirizzato attraverso il server di un attaccante.

Disconnessioni impreviste dai servizi

La tua email ti disconnette casualmente. La tua app bancaria si disconnette a metà sessione. La tua app di messaggistica perde ripetutamente la connessione. Queste disconnessioni avvengono senza spiegazione e a volte scompaiono con la stessa rapidità con cui sono comparse.

Un attaccante che intercetta il tuo traffico potrebbe forzare queste disconnessioni per reimpostare la connessione attraverso il proprio server. Logout forzati ripetuti, soprattutto su più servizi nella stessa rete, suggeriscono che la tua sessione viene dirottata e reindirizzata. L’attaccante deve reimpostare le connessioni per restare non rilevato.

Il tuo dispositivo non si connette ai siti web sicuri

I siti web che normalmente si caricano con HTTPS (l’icona del lucchetto) improvvisamente si caricano come HTTP (senza lucchetto). Oppure non si caricano affatto. Il browser potrebbe mostrare un errore relativo all’impossibilità di stabilire una connessione sicura.

Alcune reti effettuano il downgrade da HTTPS a HTTP per ridurre il carico sui propri sistemi. Ma gli attaccanti MitM lo fanno intenzionalmente per rimuovere la crittografia. Se un sito che sai usare HTTPS improvvisamente non mostra più il lucchetto, o se non riesci a stabilire alcuna connessione sicura con esso, il tuo traffico potrebbe essere intercettato.

WiFi non crittografato in luoghi a rischio

Ti connetti al WiFi di un bar, aeroporto, biblioteca o hotel che non usa una password. Queste reti trasmettono il loro segnale apertamente, il che significa che chiunque nelle vicinanze può monitorare il traffico. Un attaccante non deve nemmeno trovarsi nello stesso luogo: gli basta essere sulla stessa rete.

Il WiFi pubblico in luoghi non protetti è il contesto più semplice in cui possono verificarsi attacchi MitM. Un attaccante si posiziona nelle vicinanze, si connette alla stessa rete e monitora tutto il traffico. Il rischio è ancora più elevato negli spazi pubblici affollati, dove non sai chi ti sta seduto intorno o quali dispositivi stia utilizzando.

Più reti WiFi simili

Vedi diverse reti con nomi quasi identici. "AirportWiFi" e "AirportWifi" (W maiuscola). "CoffeeShop_Guest" e "CoffeeShop_Guest5G". Un attaccante crea una rete falsa con un nome quasi identico a quello reale.

Quando ti connetti per errore alla rete sbagliata, l’attaccante ha accesso diretto a tutto ciò che fai. Non ha bisogno di intercettare: stai inviando i dati direttamente al suo dispositivo.

Questi nomi di rete duplicati sono una configurazione comune per gli attacchi MitM perché gli utenti si connettono senza controllare con attenzione.

Comportamento DNS anomalo

Le tue query DNS vengono reindirizzate verso server imprevisti. I siti web si caricano ma sembrano diversi: annunci diversi, layout diverso, pop-up aggiuntivi. Oppure i siti web non si caricano affatto e mostrano invece pagine di errore.

Il DNS hijacking è una forma di attacco MitM in cui l’attaccante intercetta le tue richieste DNS e ti invia a siti web falsi oppure blocca completamente i siti. Se un sito che conosci bene si carica con un aspetto o un layout diverso, qualcuno potrebbe intercettare le tue query DNS e servirti una versione modificata.

Errori di certificate pinning

Le app che normalmente si caricano senza problemi improvvisamente mostrano errori di certificato. La tua app bancaria non si connette. Il tuo client email mostra un avviso di sicurezza. Questi avvisi compaiono anche se stai usando l’app che usi sempre.

Alcune app usano il certificate pinning: si fidano solo di certificati specifici dei loro server. Quando un attaccante intercetta la connessione con un certificato falso, l’app si rifiuta di connettersi perché il certificato non corrisponde a quello previsto. Errori di certificato su app che usi regolarmente indicano un’intercettazione.

Avvisi di proxy Man-in-the-Middle

Il tuo dispositivo mostra un messaggio relativo a un server proxy che non hai configurato. Le impostazioni di rete mostrano che il traffico viene instradato attraverso un proxy sconosciuto. Il browser inizia a chiedere l’autenticazione del proxy anche se non ne hai mai configurato uno.

Gli attaccanti configurano server proxy per intercettare il traffico. Se vedi impostazioni proxy che non riconosci o richieste di autenticazione proxy che compaiono inaspettatamente, il tuo traffico viene instradato attraverso il dispositivo di un attaccante.

Furto di token di sessione e cookie di accesso

Rimani connesso ai servizi, ma poi improvvisamente vieni disconnesso. Quando accedi di nuovo, vedi tentativi di accesso da luoghi in cui non ti trovavi. Le impostazioni del tuo account mostrano dispositivi che non possiedi.

Un attaccante che intercetta il tuo traffico può rubare i cookie di sessione o i token di accesso. Usa questi token per accedere al tuo account senza aver bisogno della tua password. Se vedi attività di accesso da luoghi o dispositivi sconosciuti, qualcuno ha acquisito le credenziali della tua sessione.

Crittografia declassata o problemi SSL/TLS

I siti web che normalmente usano una crittografia forte improvvisamente mostrano avvisi di crittografia debole. Il browser visualizza messaggi relativi a protocolli di sicurezza obsoleti. Le connessioni usano versioni di HTTPS più vecchie e meno sicure.

Gli attaccanti MitM cercano di effettuare il downgrade della tua connessione verso standard di crittografia più vecchi e più deboli, più facili da violare. Se vedi avvisi relativi a versioni SSL/TLS obsolete o a crittografia debole, la tua connessione viene intercettata e declassata.

Segnali di DNS cache poisoning

I siti web reindirizzano ai posti sbagliati. Fai clic su un link della tua banca ma finisci su un sito falso. Le risoluzioni dei nomi di dominio richiedono più tempo del normale o restituiscono indirizzi IP imprevisti.

Un attaccante avvelena la tua cache DNS fornendo al tuo dispositivo indirizzi IP falsi per siti web reali. Pensi di connetterti al sito reale, ma in realtà ti stai connettendo alla versione falsa dell’attaccante. Reindirizzamenti verso siti errati e risoluzioni DNS lente indicano cache poisoning.

La batteria del dispositivo si scarica insolitamente in fretta

La batteria del tuo telefono o laptop si esaurisce molto più rapidamente del normale anche se non lo stai usando intensamente. Il dispositivo si surriscalda senza che ci siano app in esecuzione in primo piano. Processi in background consumano dati che non hai autorizzato.

Un attaccante che intercetta il tuo traffico potrebbe eseguire strumenti di logging o processi di esfiltrazione dei dati sulla stessa rete. Questi processi consumano energia e generano calore. Un consumo anomalo della batteria e il surriscaldamento su reti specifiche suggeriscono un’intercettazione del traffico in background.

Modifiche nell’instradamento di email o messaggi

Le email impiegano molto più tempo del solito per arrivare. I messaggi che invii non raggiungono la destinazione. Le conferme arrivano da indirizzi email leggermente diversi dal normale. La comunicazione con i contatti diventa inaffidabile o ritardata.

Un attaccante che intercetta il traffico email o di messaggistica potrebbe ritardare, modificare o reindirizzare i messaggi. Se specifici canali di comunicazione diventano inaffidabili solo su determinate reti, qualcuno potrebbe intercettare quel traffico.

Anomalie del traffico di rete

L’utilizzo dei dati aumenta inaspettatamente senza nuove app o attività. La velocità di rete rallenta in modo significativo su una particolare connessione. La limitazione della larghezza di banda si verifica solo su reti specifiche.

Quando un attaccante intercetta il traffico, lo copia, lo registra o lo analizza. Questo crea flussi di dati aggiuntivi e può rallentare la connessione. Aumenti improvvisi nell’utilizzo dei dati o cali di velocità su determinate reti indicano un’elaborazione aggiuntiva applicata al tuo traffico.

Le credenziali di accesso smettono temporaneamente di funzionare

Provi ad accedere a un servizio e l’accesso fallisce, anche se sai che la password è corretta. Dopo qualche minuto, riesci ad accedere normalmente. Questo accade ripetutamente sulla stessa rete.

Un attaccante potrebbe intercettare e modificare i tuoi tentativi di accesso per acquisire le credenziali. Potrebbe ritardare il tuo tentativo di accesso reale mentre cattura ciò che invii. Accessi ripetutamente falliti seguiti da successo suggeriscono che qualcuno sta manomettendo il tuo traffico di autenticazione.

Best practice per prevenire gli attacchi MitM

Ora ecco alcune delle migliori pratiche di prevenzione degli attacchi MitM che puoi seguire per mantenere al sicuro tutti nella tua organizzazione:

1. Aggiorna le policy WFH e proteggi i router WiFi domestici

Se i tuoi dipendenti lavorano da casa, una delle cose migliori che puoi fare è proteggere gli ambienti WFH e le reti aziendali. Usa un buon software (firmware) per router WiFi e configuralo in modo che si aggiorni automaticamente. Inoltre, assicurati che le impostazioni di sicurezza del router siano robuste e conformi almeno agli standard WPA3. Incoraggia i tuoi dipendenti a connettersi a Internet tramite VPN se sono in viaggio. Il traffico crittografato è difficile da modificare o intercettare, ed è per questo.

2. Usa la crittografia end-to-end

Chiedi ai tuoi dipendenti di attivare la crittografia end-to-end per email e canali di comunicazione. Alcune app lo fanno automaticamente in background come Whatsapp e Telegram, ma non tutte le app sono configurate in questo modo. Possono anche usare scansione e codici QR con il loro software e i loro telefoni per ottenere la crittografia end-to-end. Fai qualche ricerca e configura tutto questo se la tua azienda usa app private.

3. Installa patch e software antivirus

Potrebbe sembrare una mossa da principianti, ma è qualcosa che la maggior parte dei dipendenti e delle aziende trascura. Non essere ingenuo pensando che gli attaccanti diano per scontato che tu l’abbia fatto. Ti sorprenderà sapere quante organizzazioni non superano i controlli di base di cyber hygiene. Installa e aggiorna il tuo software di sicurezza senza eccezioni. Inoltre, rafforza le tue misure di sicurezza degli endpoint installando la suite di protezione endpoint più efficace.

4. Usa un password manager e imposta password robuste

Non usare password facili da indovinare o violare come "Muffin@Paleo123". Non usare la tua data di nascita, numeri di telefono o dettagli personali nelle password. Usa una combinazione di lettere, numeri e simboli e assicurati che la lunghezza sia adeguata. Non riciclare o riutilizzare la stessa password per ogni pagina web, app e servizio. Dovresti usare una password diversa per tutto. Usa un buon password manager per tenere traccia delle tue password tra i vari servizi. Aggiorna anche le policy di gestione delle password nella tua azienda e chiedi ai tuoi dipendenti di cambiare le password ogni mese o anche più regolarmente.

5. Applica l’autenticazione a più fattori (MFA)

Usa l’MFA sui servizi online e sui dispositivi per difenderti dalle minacce emergenti. Sarà la tua migliore difesa. Puoi anche provare a usare app di autenticazione e configurare la ricezione di OTP sui dispositivi come ulteriore livello di sicurezza.

6. Connettiti solo a siti web sicuri

Hai notato l’icona del lucchetto a sinistra dell’URL nel browser? Sì, ti dice se un sito è sicuro. Non dimenticare nemmeno il prefisso "https://". Di’ ai tuoi dipendenti di controllare questi segnali prima di visitare i siti web. Possono anche installare plugin gratuiti del browser che eseguono audit/controlli dei siti web prima di consentire la visita, così da seguire automaticamente questa regola.

Esistono molti protocolli di web filtering che impediscono ai dipendenti di accedere a siti non HTTPS. SentinelOne dispone di un’estensione del browser e di un modulo di controllo Firewall che possono aiutare in questo. Puoi accedere alle sue funzionalità di web filtering come parte delle sue funzionalità complete di sicurezza endpoint e di rete tramite la sua piattaforma.

7. Monitora il traffico di rete per rilevare attività insolite

I tuoi dipendenti potrebbero non notare flussi di dati sospetti, ma il tuo team di sicurezza dovrebbe farlo. Configura strumenti di monitoraggio della rete per osservare connessioni in uscita inattese o picchi di traffico in orari insoliti. Quando noti schemi anomali, indagali rapidamente. Gli attaccanti spesso lasciano tracce nei log di rete prima o dopo un attacco MitM riuscito.

Gli strumenti che registrano e analizzano il traffico possono rilevare questi segnali. Non hai bisogno di software di livello enterprise per farlo: la maggior parte dei router ha funzionalità di logging di base integrate. Controlla i log ogni settimana e segnala qualsiasi elemento fuori posto. Inoltre, forma i tuoi dipendenti e rendili consapevoli dei più recenti schemi di social engineering. Dovrebbero essere in grado di individuare email di phishing e segnali di smishing e vishing. Insegna loro a non interagire con avversari sconosciuti. Verifica con chi parlano online e fai in modo che non divulghino informazioni sensibili fidandosi ciecamente degli sconosciuti.

8. Disabilita i protocolli di rete più vecchi

La tua rete probabilmente supporta ancora protocolli più vecchi come SSL 3.0 e TLS 1.0, che presentano vulnerabilità note. Gli attaccanti sfruttano questi standard obsoleti per intercettare il traffico. Aggiorna le impostazioni della rete e dei dispositivi per usare TLS 1.2 o versioni successive.

Di’ al tuo team IT di disattivare i protocolli legacy su server, router ed endpoint. Se i vecchi protocolli restano abilitati, stai lasciando una porta aperta. Questo potrebbe compromettere la compatibilità con dispositivi o software molto vecchi, ma il vantaggio in termini di sicurezza supera questo rischio. Verifica a cosa i tuoi dipendenti hanno effettivamente bisogno di connettersi, poi disabilita il resto.

9. Usa certificati SSL/TLS e verificali

I certificati dimostrano che siti web e servizi sono ciò che dichiarano di essere. La tua azienda dovrebbe installare certificati SSL/TLS legittimi su tutti i servizi interni o esposti verso l’esterno. Ancora più importante, forma il personale a verificare se i certificati sono validi. 

I browser mostrano i dettagli del certificato quando fai clic sull’icona del lucchetto. Se un certificato non corrisponde al dominio o è scaduto, non procedere. Gli attaccanti a volte usano certificati scaduti o autofirmati per intercettare il traffico. Una rapida abitudine di verifica blocca la maggior parte dei tentativi MitM che si basano su certificati falsi. Inserisci questo aspetto nel tuo onboarding di sicurezza per i nuovi assunti.

10. Segmenta la rete e limita gli accessi

Non tutti nella tua azienda hanno bisogno di accedere a ogni sistema. Suddividi la rete in zone separate — finanza, HR, sviluppo, WiFi ospiti — ciascuna con le proprie regole di sicurezza. Se un attaccante compromette un segmento, non può raggiungere automaticamente il resto.

Usa firewall e controlli di accesso per limitare a quali risorse possono connettersi dispositivi e utenti. Un dipendente dell’ufficio contabilità non ha bisogno di raggiungere la tua infrastruttura server. Questo approccio rende anche più difficile per gli attaccanti muoversi lateralmente dopo aver ottenuto l’accesso iniziale. Inizia separando i dati sensibili dalle aree di uso generale, poi perfeziona in base ai ruoli e alle esigenze reali della tua azienda.

Come SentinelOne aiuta a prevenire gli attacchi Man-in-the-Middle?

SentinelOne non dispone di un prodotto dedicato esclusivamente al blocco degli attacchi Man-in-the-Middle, ma offre una combinazione di soluzioni di sicurezza che ti aiutano a contrastare e difendere da queste minacce. Ad esempio, puoi usare Singularity™ Endpoint per ottenere una protezione autonoma degli endpoint basata sull’AI per le tue reti, identità, utenti e dispositivi.

Singularity™ Mobile ti offrirà difese on-device, adattive e in tempo reale per contrastare la crescente ondata di minacce mobili. Può eliminare i rischi derivanti da dispositivi jailbroken e rooted. Può aiutarti a difenderti dagli attacchi man-in-the-middle (MitM), inclusi quelli rogue, wireless e di manomissione delle comunicazioni sicure. Puoi bloccare URL di phishing e rilevare a livello comportamentale tecniche di phishing emergenti. Ricevi avvisi su link sospetti in SMS, app di messaggistica, email e social media.  Previeni il furto di credenziali e la compromissione degli account prima che gli utenti interagiscano.

Singularity™ XDR può fare un ulteriore passo avanti offrendo una copertura di sicurezza migliore. Può fermare minacce come il ransomware e fornisce una piattaforma di sicurezza unificata per affrontare i silos di dati. Puoi acquisire e normalizzare dati da qualsiasi fonte e correlare informazioni su qualsiasi superficie di attacco. Ti aiuta a comprendere il contesto completo degli attacchi.

SentinelOne utilizza più motori di rilevamento delle minacce che possono offrirti una migliore visibilità della tua infrastruttura. Puoi monitorare i flussi di dati, individuare account dormienti/inattivi, analizzare il traffico di rete e i comportamenti degli utenti. Ecco cosa dovresti sapere su di essi:

• Il motore statico AI di SentinelOne può analizzare i file prima dell’esecuzione e identificare schemi di intento malevolo. Può anche classificare i file benigni.
• Il suo motore comportamentale AI può tracciare le relazioni in tempo reale e proteggere da exploit e attacchi malware fileless.
• Esistono motori in grado di eseguire analisi olistiche della root cause e del blast radius.
• L’Application Control Engine può garantire la sicurezza delle immagini container.
• STAR Rules Engine è un motore basato su regole che consente agli utenti di trasformare query di telemetria dei cloud workload in regole automatizzate di threat hunting.
• SentinelOne Cloud Threat Intelligence Engine è un motore reputazionale basato su regole che usa firme per rilevare malware noto.

Prompt Security by SentinelOne può bloccare azioni agentic AI non autorizzate e prompt malevoli. Previene prompt injection e attacchi denial wallet/service e invia immediatamente avvisi relativi all’uso di shadow AI. Infine, Purple AI è l’analista di cybersicurezza Gen AI più avanzato al mondo che può aiutarti. Genera i migliori insight di sicurezza e ti aiuta a ottenere il massimo dai tuoi investimenti in sicurezza. Puoi accedere a tutte queste funzionalità di sicurezza integrate tramite la Singularity™ Platform di SentinelOne.

Ottenere informazioni più approfondite sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Conclusione

Ora che sai come funzionano gli attacchi MitM e come prevenirli, avrai maggiore sicurezza nell’applicare i migliori protocolli di sicurezza. Usa lo stack di sicurezza integrato giusto per la tua organizzazione e mantieni tutti informati. Forma i tuoi dipendenti su queste minacce e verifica se sanno cosa fare per evitare di essere intercettati. Con SentinelOne al tuo fianco, puoi proteggerti da queste minacce e impedire agli avversari di spiare le tue comunicazioni.