Ok, mettiamoci comodi perché oggi ti racconto una truffa che sembra uscita da un film di fantascienza ma che è dannatamente reale e sta facendo parecchi danni. Si chiama MFA fatigue attack, tradotto un po’ brutalmente “attacco da stanchezza dell’autenticazione a due fattori”. E no, non è un problema tecnico: è un problema psicologico travestito da problema tecnico. Geniale (in senso malvagio), vero?
Ma l’autenticazione a due fattori non doveva salvarci?
Sì, in teoria. L’MFA (Multi-Factor Authentication, quella cosa per cui dopo la password devi anche confermare l’accesso dal telefono) è una delle difese più efficaci contro il furto di account. Se qualcuno ruba la tua password ma non ha il tuo telefono, teoricamente resta fuori. Teoricamente, appunto.
Il problema è che alcuni hacker hanno capito che non serve bucare la tecnologia se puoi bucare la pazienza delle persone. E qui entra in gioco l’attacco più semplice (e fastidioso) del mondo.
Come funziona questo attacco, in pratica
Immagina questa scena: un criminale è già riuscito a rubare la tua password, magari da un data breach vecchio di anni che giaceva dimenticato su qualche forum del dark web. Con la password prova ad accedere al tuo account aziendale, a Office 365, a un VPN, a qualsiasi servizio protetto da MFA.
A questo punto il sistema ti manda una notifica push sul telefono: “Qualcuno sta cercando di accedere al tuo account, confermi?”. Tu, giustamente, dici no e la ignori.
Ma l’hacker non si arrende. Riprova. E riprova ancora. E ancora. Nel giro di pochi minuti ti arrivano dieci, venti, cinquanta notifiche identiche. Alle tre di notte. Mentre sei in riunione. Mentre stai guidando. Il telefono continua a vibrare come impazzito.
E qui succede la cosa umana, troppo umana: dopo la ventesima notifica, sfinito e infastidito, qualcuno finisce per pensare “basta, sarà un bug, clicco conferma così smette”. Click. Fatto. L’hacker è dentro.
Non è fantascienza, è già successo (eccome)
Questo tipo di attacco ha fatto parlare di sé parecchio perché è stato usato in violazioni di alto profilo contro grandi aziende tech. Il meccanismo è sempre lo stesso: bombardare la vittima di richieste finché non cede per sfinimento, noia o semplice distrazione. Non serve nessuna competenza informatica sofisticata da parte del criminale: basta uno script che spamma richieste di login e un po’ di pazienza.
C’è anche una variante ancora più subdola, in cui l’attaccante, dopo aver bombardato di notifiche la vittima, la contatta fingendosi del reparto IT: “Ciao, sono Marco dell’assistenza tecnica, abbiamo notato dei problemi con il tuo account, puoi approvare la richiesta che ti sto mandando così sistemiamo tutto?”. Detto così, molte persone si fidano. E cliccano.
Come difendersi (senza diventare paranoici)
La buona notizia è che ci sono soluzioni concrete, sia lato utente che lato azienda. Vediamole insieme.
Cose che puoi fare tu, ogni giorno
- Non approvare mai richieste che non hai avviato tu. Sembra ovvio ma nel panico o nella fretta capita a tutti di cliccare senza pensare. Regola d’oro: se non hai appena provato ad accedere tu, la risposta è sempre “nega”.
- Se ricevi notifiche a raffica, è un campanello d’allarme. Non significa che il tuo telefono è impazzito, significa che qualcuno sta provando ad entrare nel tuo account. Cambia subito la password e segnalalo all’IT o al servizio interessato.
- Diffida di chi ti chiede di “approvare per sistemare un problema”. Nessun tecnico serio ti chiederà mai di confermare un accesso che non hai richiesto tu.
Cose che le aziende dovrebbero fare
- Passare da notifiche push semplici a “number matching”. Invece del classico “approva/nega”, il sistema mostra un numero sul computer che l’utente deve inserire manualmente sul telefono. Molto più difficile da approvare per sbaglio o per sfinimento.
- Limitare il numero di tentativi. Dopo tre o quattro richieste fallite in poco tempo, l’account dovrebbe bloccarsi temporaneamente invece di continuare a bombardare l’utente.
- Usare chiavi di sicurezza fisiche (le famose chiavette FIDO2/U2F). Se serve toccare fisicamente una chiavetta USB o NFC per confermare l’accesso, l’attacco a raffica diventa semplicemente inutile.
- Formare le persone. Sì, lo diciamo sempre, ma è perché funziona davvero. Se il team sa che questo tipo di attacco esiste, riconoscerlo diventa molto più facile.
Il succo del discorso
L’MFA resta uno strumento fantastico e va usato sempre, senza eccezioni. Ma come per ogni difesa, anche questa ha un punto debole: le persone stanche, distratte o semplicemente infastidite da un telefono che continua a vibrare nel cuore della notte. Gli hacker lo sanno benissimo, ed è per questo che puntano sempre più spesso non sulla tecnologia, ma sulla nostra pazienza.
Quindi la prossima volta che il telefono ti tempesta di richieste di accesso che non hai mai fatto, non pensare a un fastidioso bug: pensa che qualcuno, da qualche parte, sta bussando insistentemente alla tua porta sperando che tu, esausto, gliela apra da solo. Non fargli questo piacere.