--- id: CP-004 slug: attacco-aitm-furto-token-mfa lang: it title: Attacco AiTM e furto del token MFA description: Un falso sito di accesso inoltra in tempo reale password e codice MFA, poi l'attaccante ruba la sessione. Come funziona e come proteggersi. canonical_url: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ markdown_url: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Attacco AiTM e furto del token MFA», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-004 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-aitm-vol-jeton-mfa/ en: https://startbrain.io/cyberpedia/en/articles/aitm-attack-mfa-token-theft/ de: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/ es: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ nl: https://startbrain.io/cyberpedia/nl/articles/aitm-aanval-diefstal-mfa-token/ sources: - "n": 1 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Implementing Phishing-Resistant MFA publisher: CISA url: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf accessed: "2026-11-03" - "n": 4 title: Passkeys (FIDO2) authentication method in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 accessed: "2026-11-03" - "n": 5 title: Adversary-in-the-Middle, Technique T1557 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 8 title: Multi-factor authentication for your corporate online services publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services published: "2024-09-26" accessed: "2026-11-03" --- # Attacco AiTM e furto del token MFA Lei inserisce la password, conferma il codice della sua app di autenticazione e la posta si apre come sempre. Eppure la pagina di accesso era falsa. In un attacco detto «adversary-in-the-middle» (AiTM, l'attaccante nel mezzo), un server collocato tra Lei e il servizio vero inoltra tutto in tempo reale e l'attaccante trattiene lungo il percorso la prova del Suo accesso. Questa prova è il cookie di sessione, il piccolo file che il servizio consegna al browser dopo un'identificazione riuscita. Con quel cookie l'attaccante entra nel Suo account senza che il servizio gli chieda più nulla. ## In 30 secondi - Dove succede: su una pagina di accesso a un servizio online (posta, strumenti d'ufficio online), raggiunta da un link o da un allegato ricevuti per e-mail [1]. - Cosa vuole l'attaccante: la password e soprattutto il cookie di sessione, per accedere al posto Suo nonostante l'autenticazione a più fattori (MFA) [1]. - Il riflesso: non apra la pagina di accesso da un messaggio; usi il preferito o l'indirizzo che digita Lei stesso, e segnali ogni messaggio che La porta a quella pagina. - Se è già successo: avvisi subito il servizio informatico, perché un attaccante può agire nella casella di posta pochi minuti dopo il furto [1]. ## Domande dirette ### L'MFA non protegge dal furto di account? Ferma molte minacce. Microsoft scrive che l'AiTM non è una falla dell'MFA: poiché il cookie di sessione viene rubato, l'attaccante risulta autenticato al posto dell'utente, qualunque sia il metodo di accesso di quest'ultimo [1]. Anche MITRE osserva che l'uso di un cookie di sessione rubato aggira alcuni protocolli MFA, dato che la sessione è già autenticata [2]. ### Che aspetto ha la pagina trappola? Quello della pagina vera. Il server dell'attaccante inoltra ogni scambio al sito imitato: la pagina è visivamente identica all'originale e l'indirizzo è l'unica differenza visibile [1]. Se l'organizzazione ha personalizzato la propria pagina di accesso di Azure AD, la pagina falsa riprende la stessa personalizzazione [1]. ### Un codice a sei cifre basta a proteggermi? No. La CISA descrive una tecnica di phishing diffusa: il messaggio porta a un sito che imita il portale di accesso di un'azienda e l'utente vi inserisce nome utente, password e il codice a 6 cifre della sua app di autenticazione [3]. ### Quale protezione resiste davvero? Le chiavi e le passkey FIDO2. Microsoft spiega che proteggono dallo spoofing del verificatore: l'autenticatore consegna i propri segreti solo al servizio presso cui la chiave è stata registrata, non a un attaccante che si spaccia per quel servizio [4]. La CISA colloca FIDO/WebAuthn e l'autenticazione basata su infrastruttura a chiave pubblica (PKI) tra le forme di MFA resistenti al phishing [3]. ## Nei panni dell'attaccante All'attaccante non serve costruire un falso sito: installa un server web che fa passare i pacchetti HTTP tra la vittima e il servizio preso di mira, nei due sensi [1]. La pagina contiene due sessioni TLS distinte, una con la vittima e una con il sito vero, e questo gli permette di estrarre dalle richieste le password e, cosa più importante, i cookie di sessione [1]. Questo lavoro si può automatizzare con kit open source. Microsoft cita Evilginx2, Modlishka e Muraena [1]. MITRE precisa che Evilginx2 può fungere da relay AiTM tra un sito legittimo e una persona colpita da phishing per catturare credenziali, token di autenticazione e cookie di sessione [5]. Ottenuto il cookie, l'attaccante lo inserisce nel proprio browser per saltare l'autenticazione, anche se l'MFA del bersaglio è attiva [1]. ## Cosa si vede sullo schermo All'inizio c'è un messaggio. MITRE descrive l'e-mail con link malevolo, usata in particolare per evitare le difese che ispezionano gli allegati [6]. Nella campagna studiata da Microsoft, l'e-mail conteneva un allegato HTML e annunciava un messaggio vocale [1]. La pagina mostrava una barra di download del messaggio, ma la barra era scritta direttamente nel file: nessun file audio veniva scaricato [1]. La vittima veniva poi reindirizzata a una pagina che precompilava il suo indirizzo e-mail, rendendo la trappola più credibile [1]. Poi arriva la pagina di accesso, copia del portale Microsoft. Una volta inserite le credenziali e completata l'autenticazione, la vittima approdava sulla vera pagina office.com [1]. Nulla segnala l'intercettazione: in secondo piano, l'attaccante aveva già intercettato le credenziali e aperto a sua volta una sessione [1]. Ecco un'illustrazione neutralizzata della forma di un indirizzo di questo tipo, per mostrare che solo l'indirizzo tradisce la trappola: ```text Illustrazione (indirizzo neutralizzato, inventato per l'esempio): hxxps://login[.]exemple-portail[.]invalid/[identificativo della vittima] Pagina mostrata: [copia del modulo di accesso Microsoft] Indirizzo atteso: [l'indirizzo ufficiale del servizio, digitato o salvato da Lei] ``` ## Sotto il cofano Un servizio web apre una sessione dopo l'autenticazione, per non chiedere di nuovo l'identità a ogni pagina. Questa sessione si basa su un cookie fornito dal servizio di autenticazione, che prova al server che l'utente è connesso [1]. MITRE osserva che questi cookie restano spesso validi a lungo, anche quando l'applicazione non è usata attivamente [7]. Un attaccante che ne possiede uno può importarlo in un browser che controlla e accedere all'applicazione [2]. Nella campagna del 2022 i cookie contenevano una dichiarazione MFA: l'attaccante li usava quindi per accedere all'account nonostante la politica MFA dell'organizzazione [1]. MITRE cita anche un caso in cui APT29 ha usato cookie rubati per accedere a risorse cloud, e un cookie duo-sid contraffatto per aggirare l'MFA di un account di posta, durante la compromissione di SolarWinds [2]. Sul fronte della difesa, la CISA classifica le forme di MFA dalla più forte alla più debole. I codici monouso di un'app sono vulnerabili al phishing, come gli SMS e le chiamate vocali [3]. Le notifiche push con inserimento di un numero resistono al «push bombing» ma non al phishing [3]. Solo FIDO/WebAuthn è, secondo la CISA, l'autenticazione resistente al phishing ampiamente disponibile [3]. L'NCSC britannico dedica una guida ai metodi di MFA più solidi [8]. Microsoft raccomanda inoltre politiche di accesso condizionale, valutate a ogni tentativo di utilizzo di un cookie rubato (dispositivo conforme, indirizzo IP attendibile) [1]. ## Autopsie ### Luglio 2022: una campagna rivolta a più di 10.000 organizzazioni Il 12 luglio 2022 Microsoft pubblica l'analisi di una campagna di phishing AiTM su larga scala. Ha rubato password, dirottato sessioni e aggirato l'autenticazione anche con l'MFA attiva. Secondo i dati di Microsoft, ha tentato di colpire più di 10.000 organizzazioni da settembre 2021 [1]. Gli attaccanti imitavano la pagina di autenticazione online di Office, con il kit Evilginx2 [1]. ### Dopo il furto: la frode dei bonifici Gli attaccanti usavano poi le credenziali e i cookie rubati per accedere alle caselle di posta e avviare frodi dei bonifici (BEC) contro altri bersagli [1]. Microsoft ha osservato che potevano bastare cinque minuti tra il furto e l'inizio della frode [1]. Nei giorni successivi l'attaccante consultava ogni poche ore le e-mail e gli allegati finanziari, cercava scambi in corso, poi cancellava l'e-mail di phishing iniziale [1]. Creava quindi una regola della posta in arrivo che spostava in «Archivio», contrassegnati come letti, i messaggi provenienti dal dominio del bersaglio della frode, perché il titolare non vedesse nulla [1]. Infine rispondeva ai thread su pagamenti e fatture, poi eliminava le proprie risposte dagli elementi inviati [1]. Una volta ha condotto più tentativi in parallelo dalla stessa casella [1]. ## Fonti 1. Microsoft, «From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud», 12 luglio 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise». https://attack.mitre.org/techniques/T1550/004/ (consultato il 3 novembre 2026) 3. CISA, «Implementing Phishing-Resistant MFA». https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (consultato il 3 novembre 2026) 4. Microsoft, «Passkeys (FIDO2) authentication method in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise». https://attack.mitre.org/techniques/T1557/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Steal Web Session Cookie, Technique T1539 - Enterprise». https://attack.mitre.org/techniques/T1539/ (consultato il 3 novembre 2026) 8. NCSC (Royaume-Uni), «Multi-factor authentication for your corporate online services», 26 settembre 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.