Mar 30, 2022 Redazione news Attacchi, News, RSS 0

Due diversi gruppi di cyber criminali stanno sfruttando dei metodi per superare l’autenticazione a due fattori basata su notifiche push o richieste sul cellulare

L’autenticazione a due fattori (2FA) è uno strumento di protezione molto efficace. Richiede che l’utente usi un secondo fattore di autenticazione oltre alla password, per esempio un token fisico, un’impronta digitale o un’OTP, per accedere a un account.

Negli ultimi mesi, però la gang per l’estorsione Lapsus$ e gruppi di hacker che lavorano per il governo russo come Cozy Bear sono riusciti a superare alcune forme meno solide di questa protezione, come riporta un articolo di Arstechinca.

Le forme di 2FA più sicure sono basate sul framework FIDO2, che permette all’utente di usare un lettore di impronte digitali, la fotocamera del proprio dispositivo mobile o chiavette di sicurezza per confermare la propria identità.

Dato che sono relativamente nuove, molti servizi non le hanno ancora adottate e si basano su forme di 2FA meno recenti, come le OTP (One-Time password, ossia password usabili una sola volta) inviate via SMS o generate da app come Google Authenticator, oppure notifiche push inviate a un dispositivo mobile.

Quando l’utente fa il login con una password valida, deve fare anche questa seconda autenticazione.  Secondo un report di Mandiant, Cozy Bear (noto anche come Nobelium, APT29 e Dukes) sfrutta il fatto che molti provider accettano una notifica push o che l’utente prema un tasto sul cellulare in risposta a una chiamata per bypassare queste protezioni.

I cyber criminali inviano al dispositivo legittimo della vittima una serie di richieste 2FA fino a quando l’utente non accetta l’autenticazione, dando loro accesso all’account.

Anche Lapsus$ ha usato la stessa tecnica. Un membro del gruppo ha scritto sul canale Telegram dei cyber criminali che se si inviano centinaia di richieste a un dipendente di notte mentre cerca di dormire è probabile che accetti, dando accesso ai pirati.

Secondo l’esperto di cybersicurezza e hacker bianco Mike Grover ci sono vari metodi per portare l’utente ad accettare una richiesta di 2FA, tra cui bombardarlo di richieste come nel caso descritto.

Un altro sistema è inviare uno o due prompt al giorno, attraendo meno attenzione ma comunque con buone probabilità di successo oppure telefonare alla vittima fingendosi un dipendente della sua stessa azienda e dicendo che è necessaria la sua autenticazione per una procedura.