Con OAD Insight #1 avevamo iniziato questa rubrica settimanale proprio sul tema MFA, l'autenticazione multi fattoriale. Il messaggio di fondo che avevamo dato era: l'MFA è una delle misure più efficaci per impedire che una password rubata porti alla compromissione dell'account, ed è quindi opportuno utilizzarlo soprattutto per utenti privilegiati, quali gli amministratori di sistema, e gli utenti che hanno accesso alle applicazioni più critiche per l'organizzazione.

Utilizzare MFA non significa essere invulnerabili. Gli attaccanti dispongono ormai di tecniche consolidate per aggirare alcune forme di MFA e, soprattutto, per impossessarsi di sessioni già autenticate.

Vi illustriamo i principali metodi di attacco,  e soprattutto come usare le forme più avanzate di MFA, che comunque è e rimane uno dei principali meccanismi di protezione di un account. Ma ricordando sempre che la sicurezza digitale non si basa e non può basarsi su una singola misura, ma richiede un insieme di livelli di protezione ben bilanciati tra loro.

Come può succedere

 Per MFA si distingono le tecniche "tradizionali", tipicamente quelle che usano SMS, OTP (One Time Password), push notification ecc. ,  da quelle più moderne, chiamate anche "phishing-resistant MFA" e che includono, ad esempio, FIDO2/passkey, Windows Hello for Business e autenticazione basata su certificati digitali. 

Le forme di MFA basate su SMS, OTP o approvazione di notifiche push offrono una protezione molto superiore alla sola password, ma possono essere vulnerabili a determinate tecniche di phishing e social engineering.

 Tra le tecniche di attacco più usate:

• Phishing con Adversary-in-the-Middle (AiTM): l'attaccante inserisce un proprio sistema tra l'utente e il servizio autentico. L'utente inserisce le proprie credenziali e completa anche il secondo fattore; l'attaccante intercetta però il token o cookie della sessione autenticata e può utilizzarlo per accedere all'account senza dover ripetere l'MFA. Un tipico esempio: l'attaccante fa da proxy tra vittima e servizio autentico; l'utente completa anche l'MFA, ma il proxy intercetta il token rilasciato dopo l'autenticazione e può riutilizzarlo. 
• MFA fatigue / push bombing: l'attaccante genera numerose richieste di autorizzazione sul dispositivo dell'utente, confidando che quest'ultimo ne approvi una per errore, distrazione o stanchezza.
• Furto dei token o cookie di sessione: token di una sessione già autenticata possono essere sottratti anche attraverso malware, compromissione del browser o altre tecniche. In questo caso l'attaccante non deve necessariamente “rompere” l'MFA: utilizza una sessione che il sistema considera già autenticata. Microsoft definisce, ad esempio, pass-the-cookie proprio questo tipo di attacco.
• Social engineering dei processi di recupero: l'attaccante può cercare di convincere l'help desk o sfruttare procedure deboli di recupero dell'account per ottenere il reset dell'MFA o registrare un nuovo metodo di autenticazione.
• SIM swapping: l'attaccante riesce, tipicamente attraverso tecniche di social engineering o compromettendo l'account presso l'operatore telefonico, a trasferire il numero della vittima su una SIM sotto il proprio controllo. Può così ricevere gli SMS contenenti i codici OTP utilizzati come secondo fattore di autenticazione.
• Sfruttamento di sistemi o autenticazioni legacy: la presenza di vecchi protocolli, applicazioni o configurazioni che consentono l'accesso senza applicare l'MFA può offrire all'attaccante una strada alternativa. In questi casi l'MFA non viene tecnicamente violata, ma aggirata utilizzando un percorso di autenticazione meno protetto.

Quali sono le conseguenze

• Compromissione dell'account: l'attaccante può accedere a dati, applicazioni e servizi utilizzando l'identità della vittima.
• Business Email Compromise e frodi: se viene compromesso l'account di un dirigente o di una funzione amministrativa, l'attaccante può intercettare conversazioni, modificare regole della posta, inviare richieste di pagamento o impersonare l'utente. 
• Compromissione più ampia dell'organizzazione: se l'account dispone di privilegi elevati, l'attaccante può sfruttarlo per accedere ad altri sistemi, aumentare i propri privilegi o mantenere la persistenza. Tycoon2FA, per esempio, è stato utilizzato anche per registrare nuovi metodi di autenticazione e creare regole nelle caselle email compromesse. (nb:  Tycoon2FA è una piattaforma di phishing-as-a-service con capacità AiTM utilizzata su enorme scala; a maggio 2026 ha preso di mira oltre 35.000 utenti di più di 13.000 organizzazioni in 26 Paesi, con il  furto dei token dopo l'autenticazione).

I principali insegnamenti

• L'MFA rimane fondamentale. Qualunque MFA offre generalmente molta più protezione della sola password; il fatto che alcune tecniche possano essere aggirate non significa affatto che l'MFA sia inutile. CISA, Cybersecurity and Infrastructure Security Agency USA, sottolinea esplicitamente che any MFA is better than no MFA, pur indicando la phishing-resistant MFA come obiettivo a cui tendere.
• Non tutte le MFA sono equivalenti. Per amministratori, dirigenti e utenti che accedono a sistemi critici è opportuno privilegiare metodi phishing-resistant.
• Proteggere anche la sessione, non soltanto il login. Conditional Access, controllo del dispositivo, rilevamento degli accessi anomali e protezione/revoca dei token diventano essenziali. 
• La sicurezza deve essere multilivello: nessuna singola misura può costituire, da sola, una difesa assoluta.