Scopri come funzionano gli attacchi MFA e come difenderti!

La MFA, multifactor authentication, ovvero autenticazione multifattoriale, è uno dei pilastri della sicurezza informatica moderna. Si tratta di confermare la propria identità con fattori diversi, generalmente nome utente + password e un codice monouso oppure un’autenticazione biometrica, come le impronte digitali.

Purtroppo, però, i cybercriminali hanno trovato un modo per sfruttare anche questa tecnica di cybersecurity a loro vantaggio, con un tipo di attacco chiamato MFA bombing. In questo post vediamo cos’è un attacco MFA, come funziona e come difendersi. Buona lettura!

Che cos’è il bombing MFA

L’MFA bombing, anche noto come MFA fatigue, è letteralmente un bombardamento di richieste di autenticazione multifattoriale, ad esempio di richieste di conferma dell’identità inviate via email al proprietario di un account. L’obiettivo è frustrare o mandare nel panico la vittima, inducendola a fare clic su una richiesta o cedendo i suoi dati in altro modo.

Da qualche tempo, questo tipo di attacco sta colpendo gli utenti di Apple, ma in passato ha già preso di mira i clienti di Uber e di Microsoft.

Il bombardamento di richieste di autorizzazione confonde e stanca le persone prese di mira, inducendole a fare clic o cedere i propri dati.

Come funziona l’attacco MFA contro gli utenti Apple

Come funziona un attacco MFA contro i clienti Apple

  1. La vittima riceve molte richieste di autenticazione multifattoriale per email.
  2. A un certo punto, quando il criminale pensa che la vittima sia già abbastanza snervata, la chiama fingendo di essere un rappresentante Apple.
  3. Il criminale dice alla persona che è vittima di un attacco informatico e richiede una password temporanea o un altro metodo di autenticazione per accedere all’account e proteggerlo.
  4. La vittima, presa dall’urgenza e dalla mancanza di conoscenze, cade nel tranello e fornisce il codice di autenticazione, ad esempio tramite app.
  5. Il criminale lo utilizza per accedere all’account della vittima, di cui precedentemente aveva già trovato o acquistato le credenziali di accesso nel dark web.
  6. A questo punto il criminale può disporre dell’account Apple della vittima. Ad esempio per fare acquisti o reperire altri dati sensibili come quelli della carta di credito.

Questa è la procedura generale di un bombing MFA, ma i cybercriminali adattano l’attacco alla vittima, soprattutto se l’obiettivo finale è entrare in una rete aziendale e raggiungere altri account più critici.

Per lo stesso motivo, questo tipo di truffa che ora sta colpendo gli utenti Apple in passato ha già colpito i clienti di altre Big Tech e domani potrebbe colpire gli utenti di qualsiasi altra piattaforma.

LEGGI ANCHE: Come rimuovere i malware da PC o MAC

Come proteggersi dal bombing MFA

Questi attacchi sono efficaci perché fanno leva sulla frustrazione e la paura delle persone, soprattutto quando subiscono il cosiddetto stress o affaticamento da notifiche (notification fatigue).

Si tratta di un problema molto ampio, che riguarda il nostro rapporto con le tecnologie e con gli smartphone in particolare, ma in questo caso quello che ci interessa è che l’anello debole di questi attacchi è la persona.

Può sembrare una brutta notizia. Ma in realtà è positiva: ogni persona ha la possibilità di bloccare questi attacchi, che non possono andare a segno senza la complicità (involontaria) della vittima.

Ecco i nostri consigli per proteggerti dal bombing MFA

  • Non approvare nessuna autenticazione multifattoriale che non hai richiesto. Nel dubbio, ad esempio se non ricordi di aver provato ad accedere a un account, diffida e non autorizzare l’accesso.
  • Verifica le chiamate e i messaggi che ricevi per assicurarti che provengano da rappresentanti autentici delle aziende di cui sei cliente e utente.
  • Segnala le attività sospette. Così l’azienda può imparare come funzionano le nuove truffe che la prendono di mira e sviluppare degli strumenti di difesa su misura.
  • Utilizza misure di sicurezza aggiuntive, ad esempio una chiave di recupero Apple. Questa chiave ti consente di recuperare l’accesso al tuo account e resettare la password in caso di violazione dell’account.
  • Informati regolarmente sul nostro blog per conoscere le nuove tecniche dei cybercriminali e le nuove truffe online.

La chiave di una protezione efficace è informarsi e diffidare. È necessario conoscere le minacce da cui dobbiamo difenderci, sapere come farlo e sviluppare un senso critico che faccia suonare rapidamente un campanello d’allarme quando siamo sotto attacco.

Inoltre, vale la pena ricordare che nessuno è immune dalle truffe online e dagli attacchi informatici: gli hacker prendono di mira chiunque, dal privato che usa internet per guardare Netflix e rispondere alle email al manager della grande azienda che può autorizzare bonifici e pagamenti transfrontalieri.

Il segreto per difendersi dal bombing MFA e da altri cyberattacchi è diffidare e saper riconoscere le minacce.

Altre risorse utili

Per concludere il nostro articolo, ti proponiamo alcune risorse aggiuntive che potrebbero interessarti. Per approfondire questo argomento e trovare soluzioni su misura per le tue necessità.

Guida alla sicurezza personale di Apple: in questa guida trovi molti suggerimenti utili per migliorare la sicurezza del tuo account Apple e dei tuoi dispositivi (valgono anche per le altre piattaforme).

Come fare il backup dell’iPhone: in questo articolo del nostro blog, spieghiamo come e perché fare il backup periodico dei dati salvati sull’iPhone.

Istruzioni per mantenere il tuo account Microsoft sicuro e protetto: in questa pagina trovi tutte le informazioni necessarie per difendere il tuo account Microsoft.

Protezione avanzata per Google: in questa pagina trovi un video di un esperto di prodotto Platino di Google. In cui spiega come attivare la protezione avanzata Google per mettere in sicurezza il canale YouTube e Gmail.

Speriamo che le informazioni di questo post e le risorse che abbiamo condiviso ti aiutino a protegger i tuoi account e difenderti dai nuovi attacchi di MFA bombing. Se hai delle domande su questo e altri argomenti, faccelo sapere nei commenti e ti risponderemo!

Buona navigazione e buona protezione dagli attacchi MFA bombing!