Il meccanismo su cui si basa è semplice: per accedere non basta conoscere una password, perché bisogna dimostrare anche di possedere un secondo elemento di riconoscimento, ad esempio smartphone, tablet o computer che riceve un codice via SMS o una notifica push.
Solo la combinazione di credenziali e codice possono sbloccare l’account.
Le versioni più avanzate di 2FA sostituiscono il secondo elemento con riconoscimento facciale o impronte digitali, andando a raffinare un sistema che, almeno a prima vista, appare a prova di hacker.
Di fatto, questo secondo passaggio aggiuntivo rendeva più difficile per un criminale informatico, magari dall’altra parte del mondo, violare un profilo.
Di recente, però, alcune tecniche avanzate hanno dimostrato come anche l’autenticazione a due fattori mostra alcune vulnerabilità da non sottovalutare.
Evilginx, la tecnica che minaccia l’autenticazione a due fattori
Il nome di questa soluzione ideata dai cybercriminali è Evilginx.
Questa viene utilizzata dopo l’accesso a un servizio protetto da 2FA, con una sessione autenticata attiva.
In questa fase, il browser conserva i cookie di sessione, piccoli file temporanei che includono dati utili al servizio, fra cui l’identificativo della sessione appena convalidata.
Evilginx punta a sottrarre questi token, intervenendo dunque ad autenticazione avvenuta.
Ottenuti i cookie, il malintenzionato può utilizzarsi e “convincere” il sito che la richiesta arrivi dall’utente legittimo, ottenendo l’accesso ai dati personali dell’account.
I sistemi per raggiungere questo scopo fanno ampio utilizzo di tecniche phishing, con una procedura che vede l’attaccante realizzare una pagina contraffatta (simile alla schermata di login di una banca, di un altro servizio), per farsi consegnare username e password.
Come funziona un attacco AiTM (Adversary-in-the-Middle)
Il codice 2FA, però, arriva come previsto sul dispositivo della vittima, quindi l’attaccante deve usare un inganno più sofisticato, andando a sovrapporsi al servizio autentico.
Il sistema ideato dal cybercriminale fa da “intermediario” tra il browser dell’utente e il sito originale.
Mentre la vittima inserisce nome utente, password e codice 2FA sulla pagina truffaldina, Evilginx inoltra tutti i dati in tempo reale al servizio autentico e rimanda all’utente le risposte ricevute, facendo credere che stia interagendo direttamente con il sito legittimo.
Quando l’utente conferma la verifica a due fattori, il proxy intercetta il cookie di sessione emesso dal servizio.
Il sito può quindi trattare il criminale come se fosse l’utente già autenticato: non è la vittima ad avere aperto quella sessione, ma l’attaccante, che può visualizzare o modificare ciò a cui l’account consente di accedere.
L’intera sequenza (imitazione del dominio, inoltro del traffico, raccolta di credenziali e furto della sessione) rientra negli attacchi di tipo adversary-in-the-middle (AiTM).
Va detto che il sistema Evilginx non era favorire le frodi.
Il software nasce infatti per simulazioni di phishing e test di sicurezza, utili a individuare debolezze nei sistemi di accesso e a rafforzare le difese aziendali.
La disponibilità del codice, però, ha consentito anche a soggetti malevoli di adattarlo alle proprie campagne.
Nonostante ciò, la 2FA resta una delle migliori soluzioni possibili a livello di sicurezza: SMS, notifiche e codici temporanei restano molto più sicuri della sola password, sebbene Evilginx mantenga aperto un margine di pericolo da non sottovalutare.
Come evitare rischi
Per evitare potenziali pericoli, esistono comunque diverse pratiche efficaci che chiunque dovrebbe adottare.
In primis, vi sono le passkey.
Questo nuovo sistema di autenticazione permette di ottenere un accesso usando il proprio dispositivo hardware.
Una chiave fisica come YubiKey svolge un compito analogo, attraverso un collegamento USB.
Questi strumenti sono legati al dispositivo e al dominio legittimo: un sito falso non dovrebbe riuscire a ottenere una conferma valida per la controparte reale.
In caso di dubbi riguardo una potenziale intromissione, il consiglio principale è di revocare subito tutte le sessioni attive, andando dove possibile a modificare le credenziali per poi controllare le attività sospette sugli account e attivare le passkey (dove possibile).
Resta valida una regola universale quando si parla di cybersicurezza, ovvero mantenere delle “abitudini sane” di prevenzione.
Evitare link sospetti e, nel caso di dubbio, verificare l’URL di un login con una rapida analisi e annessa ricerca online. Ovviamente, anche un antivirus dotato di protezione in tempo reale può aiutare a evitare il peggio.
Per chi mantiene le password come metodo di accesso, il consiglio è di utilizzare credenziali complesse (con numeri, maiuscole, minuscole e altri caratteri), che non abbiano riferimenti al servizio o sito in cui vengono utilizzate, il tutto con il supporto di un password manager, utile per evitare keylogging, ovvero la registrazione dei tasti digitati dalla vittima di un attacco.
