Vishing AiTM: come UNC6671 bypassa MFA e il cloud
“`html
Il vishing non è più una semplice telefonata truffaldina: è diventato un’arma sofisticata capace di aggirare l’autenticazione a più fattori (MFA) e violare ambienti cloud aziendali in pochi minuti. Un recente report di Google Cloud, firmato Mandiant, ha acceso i riflettori su UNC6671, un gruppo di attaccanti che combina chiamate telefoniche mirate con portali AiTM (adversary-in-the-middle) per rubare sessioni di autenticazione già attive. Il risultato? Accesso diretto a Microsoft 365, Okta e altri servizi cloud, senza bisogno di indovinare password. Vediamo insieme come funziona questa minaccia e, soprattutto, come difendersi.
Cos’è il vishing con AiTM e perché cambia le regole del gioco
Il termine vishing indica il phishing effettuato tramite chiamata vocale. Quando si combina con tecniche AiTM, l’attacco fa un salto di qualità: l’operatore malevolo si spaccia per un tecnico IT, crea un clima di urgenza e convince la vittima a interagire con un portale di autenticazione fasullo.
La particolarità sta nel fatto che l’attaccante non si limita a rubare una password. Si posiziona come proxy invisibile tra la vittima e il vero provider di identità, intercettando in tempo reale token, cookie di sessione e credenziali SAML/OIDC. Questo significa che anche un MFA correttamente configurato può essere aggirato, perché l’attaccante non deve superare la verifica: la ottiene direttamente dalla vittima, in diretta.
Le fasi dell’attacco passo dopo passo
- Contatto iniziale: una chiamata (spesso sul cellulare personale) simula un problema urgente, come un errore nell’enrolment di una passkey o una fantomatica “migrazione di sicurezza”.
- Portale fasullo: la vittima viene indirizzata a un sito look-alike che funge da intermediario con il vero identity provider, catturando in tempo reale i dati di sessione.
- Riuso della sessione: con il cookie o il token rubato, l’attaccante accede ai servizi cloud come se fosse l’utente legittimo, bypassando ulteriori richieste MFA.
- Persistenza: vengono registrati nuovi metodi di autenticazione a favore dell’attaccante e cancellati gli alert di sicurezza, per ritardare la scoperta.
- Esfiltrazione automatizzata: script come PowerShell o librerie Python vengono usati per scaricare rapidamente email e documenti sensibili.
Chi rischia di più e quali sono i danni concreti
Non tutti i settori sono colpiti allo stesso modo. I dati raccolti indicano che i bersagli preferiti sono:
- Servizi finanziari
- Private equity
- Studi legali e servizi professionali
Il motivo è semplice: questi ambiti custodiscono informazioni con un alto valore di estorsione, come contratti, pratiche di fusione e acquisizione o dati riservati dei clienti. Gli attaccanti sfruttano queste informazioni non solo per il furto in sé, ma per campagne di estorsione vera e propria, spesso cambiando “brand” del gruppo criminale (da BlackFile a Redact, Pink, Helix) pur mantenendo la stessa infrastruttura e metodologia.
Segnali da monitorare: come riconoscere un attacco in corso
Identificare per tempo questi attacchi richiede attenzione a comportamenti anomali più che a semplici indicatori tecnici. Ecco i segnali principali da tenere sotto controllo:
- Registrazione di nuovi metodi di autenticazione subito dopo una chiamata sospetta all’help desk
- Accessi da indirizzi IP residenziali o proxy, con user-agent riconducibili a script automatizzati (es. “python-requests”)
- Download massivi di file in tempi molto ristretti
- Creazione di regole di inoltro email sospette o deleghe di accesso non autorizzate
- Cancellazione improvvisa di notifiche di sicurezza
- Rotazione frequente di domini di phishing, spesso ogni uno o due giorni
Come proteggere la propria organizzazione
La buona notizia è che esistono contromisure efficaci, purché vengano applicate con priorità e costanza.
1. Passare a un’autenticazione resistente al phishing
Le chiavi hardware FIDO2/WebAuthn e le passkey attestate rappresentano oggi lo standard più sicuro. A differenza degli OTP via SMS o app, questi metodi non possono essere “rilayati” da un portale AiTM, perché legano la sessione al dispositivo fisico.
2. Rafforzare la gestione delle sessioni
Ridurre la durata delle sessioni attive e richiedere una verifica aggiuntiva (step-up MFA) per le operazioni più sensibili limita drasticamente la finestra di sfruttamento per un attaccante.
3. Verifica indipendente per le richieste IT
Ogni richiesta che riguarda modifiche critiche – come l’enrolment di un nuovo dispositivo MFA o un reset password – dovrebbe passare attraverso un canale di verifica indipendente, per esempio una chiamata a un numero IT certificato o una videochiamata autenticata.
4. Potenziare telemetria e monitoraggio
Mantenere attivi e conservare a lungo i log di accesso di Azure AD, Okta e Office 365 permette di ricostruire rapidamente un eventuale incidente. È utile impostare alert automatici per:
- Nuove registrazioni di metodi di autenticazione seguite da accessi da IP anomali entro 24 ore
- User-agent sospetti in chiamate a Graph API o Exchange Online
- Download anomali per volume o frequenza
5. Prepararsi alla risposta rapida
Un piano di incident response ben definito fa la differenza. Le azioni chiave includono la revoca immediata di sessioni e token, il reset degli strumenti di autenticazione e la revisione di tutte le regole email e deleghe attive sull’account compromesso.
Conclusione
Gli attacchi di vishing con AiTM dimostrano che la sicurezza informatica non può più basarsi solo su password complesse e MFA tradizionale. Il vero punto debole, in questi casi, è l’elemento umano: una telefonata ben orchestrata può bastare per aprire le porte a un’intera infrastruttura cloud aziendale. Per questo la difesa efficace deve unire tecnologia e processi: autenticazione phishing-resistant, monitoraggio comportamentale e procedure di verifica indipendenti per ogni richiesta sensibile. Investire oggi in queste contromisure significa evitare domani danni economici e reputazionali difficili da recuperare.
“`