Che cos’è l’autenticazione a più fattori? Come funziona l’MFA e in quali casi fallisce

L'autenticazione a più fattori (MFA) è un metodo di accesso che richiede almeno due diversi tipi di verifica prima di consentire l'accesso: qualcosa che conosci, come una password, più qualcosa che possiedi, come il tuo telefono, o qualcosa che ti caratterizza, come la tua impronta digitale. Una password rubata da sola non è quindi più sufficiente per prendere il controllo di un account. Ciò rende l'MFA una delle misure di sicurezza più efficaci che un'organizzazione possa adottare.

Ma l’autenticazione a più fattori (MFA) non è un campo di forza. Gli hacker hanno imparato a sommergere i dipendenti di richieste di accesso finché qualcuno non clicca su “approva”, a rubare i cookie di sessione tramite pagine di accesso fasulle e a convincere i servizi di assistenza a reimpostare un numero di telefono. Questo articolo spiega come funziona l’autenticazione a più fattori, quali forme sono sicure e quali sono vulnerabili, come gli hacker riescono ad aggirarla e quali sono le aspettative delle autorità di regolamentazione nel Regno Unito, nell’Unione Europea e negli Stati Uniti.

Come funziona l'autenticazione a più fattori

Ogni fattore di autenticazione rientra in una delle tre categorie. L'autenticazione a più fattori (MFA) è considerata tale solo quando i fattori appartengono a categorie diverse; due password costituiscono comunque un unico fattore.

• Qualcosa che conosci. Una password, un PIN o la risposta a una domanda di sicurezza.
• Qualcosa che possiedi. Un telefono con un’app di autenticazione, una chiave di sicurezza hardware o una smart card.
• Qualcosa che ti caratterizza. Un’impronta digitale, una scansione del volto o un’altra caratteristica biometrica, solitamente verificata sul tuo dispositivo.

L'autenticazione a due fattori (2FA) è semplicemente l'autenticazione multifattoriale (MFA) con esattamente due fattori e, nella pratica, i due termini sono usati in modo intercambiabile. Più che il numero di fattori, ciò che conta è il grado di resistenza di ciascun fattore al phishing e alla manipolazione.

Forme di MFA, dalla più debole alla più forte

1. Codici via SMS e vocali. Sono più sicuri di una semplice password, ma vulnerabili allo “swapping della SIM”, ovvero quando un criminale convince un operatore di telefonia mobile a trasferire il tuo numero sulla propria scheda SIM.
2. Codici inviati via e-mail. Sono sicuri solo quanto la casella di posta elettronica, che spesso è protetta dalla stessa password già in possesso dell'autore dell'attacco.
3. Codici dell'app di autenticazione. Un codice a sei cifre che cambia ogni 30 secondi. Molto più sicuro degli SMS, ma un dipendente potrebbe comunque inserirlo in una pagina di accesso contraffatta.
4. Notifiche push con verifica del numero. L'app richiede di confermare l'accesso e di digitare il numero visualizzato sullo schermo. Questo impedisce le approvazioni automatiche, anche se un malintenzionato determinato potrebbe comunque provare a guidare qualcuno nella procedura.
5. Passkey e chiavi di sicurezza. Basate sullo standard FIDO2, funzionano solo sul sito web originale, quindi una pagina di phishing non ottiene alcuna informazione. È ciò che le agenzie di sicurezza definiscono “autenticazione a più fattori (MFA) resistente al phishing”.

Come gli hacker aggirano l'autenticazione a più fattori (MFA)

• Stanchezza da MFA. Con una password rubata, l’autore dell’attacco genera una richiesta di accesso dopo l’altra, spesso di notte, finché il dipendente non ne approva una solo per far cessare le notifiche.
• Phishing di tipo “adversary-in-the-middle”. Una pagina di accesso contraffatta inoltra in tempo reale tutti i dati al sito autentico, compreso il codice MFA, e ruba il cookie di sessione che mantiene la vittima connessa. La nostra panoramica sui tipi di attacchi di phishing mostra quanto siano diventate convincenti queste pagine.
• Sostituzione della SIM. L'autore dell'attacco si appropria del numero di telefono della vittima e riceve i codici via SMS.
• Ingegneria sociale nei servizi di assistenza tecnica. Chi chiama si finge un dipendente che ha “perso il cellulare” e chiede al servizio di assistenza IT di registrare un nuovo dispositivo. Funziona con sorprendente frequenza, poiché gli addetti all’assistenza sono addestrati a fornire aiuto.

Ciò che accomuna queste tecniche è che non compromettono la tecnologia. Convincono una persona a consentire l'accesso all'autore dell'attacco. Ecco perché l'autenticazione a più fattori (MFA) e la sensibilizzazione vanno di pari passo.

Stanchezza da MFA: quando un dipendente autorizza l'autore dell'attacco

La tecnica denominata “MFA fatigue”, nota anche come “push bombing”, è diventata di dominio pubblico nel 2022, quando un hacker è riuscito a penetrare nella rete di Uber proprio in questo modo. Dopo aver inondato il sistema di richieste di autenticazione push, l’hacker ha contattato il dipendente su WhatsApp, spacciandosi per un tecnico dell’assistenza IT, e gli ha detto che le notifiche sarebbero cessate non appena ne fosse stata approvata una. Il dipendente ha dato il proprio consenso e l’hacker è riuscito a entrare nel sistema.

La difesa è in parte tecnica e in parte umana. La verifica della corrispondenza dei numeri e i limiti alle richieste ripetute rendono l’attacco più difficile. Altrettanto importante è una semplice regola che ogni dipendente conosce a memoria: non approvare mai un accesso che non hai avviato tu stesso e segnalare immediatamente le richieste di autenticazione a più fattori (MFA) inaspettate, perché significano che qualcuno è già in possesso della tua password.

Cosa si aspettano le autorità di regolamentazione: l’MFA nel Regno Unito, nell’UE e negli Stati Uniti

• Regno Unito. Il programma Cyber Essentials richiede l’autenticazione a più fattori (MFA) per i servizi cloud ovunque sia disponibile, e l’NCSC la raccomanda per tutti gli account importanti.
• Unione europea. Il NIS2 include esplicitamente l’autenticazione a più fattori tra le misure di sicurezza che i soggetti essenziali e importanti devono prendere in considerazione, mentre il GDPR prevede l’adozione di misure tecniche adeguate per la protezione dei dati personali. In Italia il D.Lgs. 138/2024 la riprende tra le misure di sicurezza e l'ACN raccomanda l'autenticazione a più fattori per tutti gli account importanti.
• Stati Uniti. La CISA esorta le organizzazioni ad adottare un sistema di autenticazione a più fattori (MFA) resistente al phishing, mentre la “Safeguards Rule” della FTC impone l’uso dell’autenticazione a più fattori (MFA) a molte aziende del settore finanziario che trattano i dati dei clienti.

La tendenza è la stessa ovunque: l’autenticazione a più fattori (MFA) sta diventando uno standard di base e le autorità di regolamentazione chiedono sempre più spesso non solo se sia attiva, ma anche se sia in grado di contrastare il phishing e se i dipendenti sappiano come utilizzarla in modo sicuro.

Come implementare l'autenticazione a più fattori (MFA) in cinque passaggi

1. Inizia dagli account più importanti: posta elettronica, accesso remoto, account amministrativi, sistemi finanziari e qualsiasi altro account accessibile da Internet.
2. Scegliete il metodo più sicuro che gli utenti utilizzeranno effettivamente. App di autenticazione con la corrispondenza dei numeri come standard, passkey o chiavi di sicurezza per gli amministratori e i ruoli ad alto rischio.
3. Rafforzare le procedure dell’helpdesk. Stabilire in modo univoco le modalità con cui un utente deve dimostrare la propria identità prima che un dispositivo venga ripristinato o registrato nuovamente, e attenersi a tali procedure, anche nel caso dell’amministratore delegato.
4. Spiegate il perché e le regole. I dipendenti che comprendono il fenomeno della “stanchezza da MFA” e riconoscono le pagine di accesso contraffatte sono in grado di individuare un attacco quando se ne presentano.
5. Monitorare e continuare la formazione. Prestare attenzione alle richieste di autenticazione multifattoriale (MFA) ripetutamente fallite o rifiutate e mantenere aggiornate le regole con sessioni di formazione brevi e ricorrenti.

Il consiglio: sviluppa il lato umano dell’MFA con Guardey

Guardey si assicura che i dipendenti sappiano cosa fare quando l’autenticazione a più fattori (MFA) viene messa alla prova. Ogni settimana ricevono una sfida della durata di circa tre minuti, sul proprio laptop o tramite l’app mobile per iOS e Android, su argomenti quali richieste di accesso inattese, pagine di accesso contraffatte, truffe dell’help desk e buone pratiche relative alle password. La gamification, con classifiche e serie di risultati consecutivi, mantiene vivo il coinvolgimento degli utenti; le simulazioni di phishing verificano la loro capacità di individuare una pagina di accesso contraffatta, mentre i report pronti per gli audit mostrano i progressi compiuti in vista delle certificazioni NIS2 e ISO 27001. Oltre 500 organizzazioni, tra cui il Parlamento europeo, utilizzano già Guardey. Scopri come funziona la nostra formazione sulla consapevolezza della sicurezza.

Collaborate con un partner IT? Chiedete di più che la semplice attivazione dell'autenticazione a più fattori (MFA)

Molte organizzazioni affidano la gestione dei propri account Microsoft 365, dei dispositivi e della sicurezza a un fornitore di servizi gestiti (MSP): un’azienda IT che gestisce i sistemi informatici per conto di altre imprese a fronte di un canone mensile. Per la maggior parte degli MSP, l’implementazione dell’autenticazione a più fattori (MFA) è un’attività di routine. Tuttavia, gli attacchi che riescono a eludere l’MFA prendono di mira le persone che la utilizzano, non la configurazione. Se un MSP gestisce il vostro sistema IT, chiedete in che modo vi protegge dalla “stanchezza da MFA” e dalle pagine di accesso contraffatte. Per gli MSP, la formazione è la naturale seconda parte di un servizio MFA.

Uno dei modi in cui gli MSP possono offrire Guardey è tramite e92plus, un distributore specializzato in sicurezza informatica il cui portafoglio comprende anche soluzioni per la gestione delle identità, degli accessi e delle password. I suoi tecnici interni supportano i partner in tutte le fasi, dalla dimostrazione all’implementazione, consentendo così di vendere e fornire le soluzioni di autenticazione e sensibilizzazione come un unico servizio.

Domande frequenti sull'autenticazione a più fattori

L'autenticazione a più fattori (MFA) è la stessa cosa dell'autenticazione a due fattori (2FA)?

Quasi. L'autenticazione a due fattori utilizza esattamente due fattori, mentre l'autenticazione multifattoriale può utilizzarne due o più. Nell'uso quotidiano, i due termini hanno lo stesso significato: una seconda prova di identità oltre alla password.

È possibile hackerare MFA?

L'autenticazione a più fattori (MFA) di per sé viene raramente violata, ma può essere aggirata. I metodi più comuni sono l'“affaticamento da MFA”, le pagine di accesso fasulle che rubano i cookie di sessione, lo “swapping della SIM” e l’inganno dell’help desk. Metodi resistenti al phishing, come le passkey, abbinati a personale adeguatamente formato, bloccano la maggior parte di questi attacchi.

Che cos’è la “stanchezza da MFA”?

Il “MFA fatigue” è un attacco in cui un malintenzionato, già in possesso della password di qualcuno, invia ripetute richieste di accesso finché la vittima, infastidita o confusa, non ne approva una. La regola per prevenirlo è semplice: non approvare mai una richiesta che non hai avviato tu stesso e segnalala.

Che cos’è l’autenticazione a più fattori (MFA) resistente al phishing?

L'autenticazione a più fattori (MFA) resistente al phishing utilizza passkey o chiavi di sicurezza hardware basate sullo standard FIDO2. L'accesso è legato crittograficamente al sito web autentico, quindi una pagina contraffatta non può acquisire alcuna informazione utilizzabile. Le agenzie di sicurezza come la CISA e l'NCSC ne raccomandano l'uso, in particolare per gli amministratori.

L'MFA rimane uno dei migliori investimenti in materia di sicurezza che un'organizzazione possa fare. Funziona al meglio solo quando chi preme il pulsante “approva” sa anche quando non farlo.