--- id: "phishing-011" title: "Phishing AiTM: Perché anche il codice 2FA inserito su un sito clone viene rubato" description: "Scopri come il phishing AiTM elude l'autenticazione a due fattori tramite il furto del cookie di sessione MFA e come proteggere la tua azienda." canonical: https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/ slug: "phishing-aitm-furto-codice-2fa-cookie-sessione" date: "2026-09-29" category: "phishing" product: "superphisher" lang: it author: "Brain Security · R&S Cyber e Fattore Umano" frameworks: "ACN · NIS 2 · DORA · GDPR · ISO 27001" --- # Phishing AiTM: Perché anche il codice 2FA inserito su un sito clone viene rubato Per anni, l'adozione dell'autenticazione a più fattori (MFA) è stata considerata lo scudo definitivo contro il furto di credenziali. Per i CISO e i team di sicurezza, imporre un codice temporaneo via SMS o una notifica push permetteva di neutralizzare immediatamente il 99% degli attacchi di phishing tradizionali. Purtroppo, questa certezza vacilla di fronte alla rapida diffusione dei cosiddetti attacchi AiTM (Adversary-in-the-Middle). Oggi, un dipendente può digitare scrupolosamente la propria password e confermare il secondo fattore sul proprio smartphone, consegnando comunque l'accesso completo alla casella di posta aziendale o all'infrastruttura cloud. I cybercriminali non cercano più di forzare le password: aggirano direttamente il controllo degli accessi. Comprendere questo meccanismo tecnico è indispensabile per adeguare la strategia difensiva e la formazione interna. --- ## Come fa un kit di phishing AiTM a intercettare il token di sessione nonostante il secondo fattore? > **In sintesi: Un kit AiTM agisce come un reverse proxy malevolo che inoltra in tempo reale le richieste tra la vittima e il vero servizio web. Quando l'utente convalida il codice 2FA, il server legittimo genera un cookie di sessione che l'attaccante intercetta per usurpare all'istante l'identità dell'account.** A differenza di un sito di phishing classico, che replica solo l'aspetto visivo di una schermata di login per registrare i caratteri digitati, l'infrastruttura AiTM opera in modo dinamico: - **Il proxy speculare:** L'attaccante configura un server proxy inverso sotto un dominio ingannevole. Quando la vittima clicca sul link malevolo, il proxy carica l'autentica pagina di login del fornitore (ad esempio il portale di una suite di collaborazione cloud) e la visualizza per l'utente. - **L'intercettazione del primo fattore:** L'utente inserisce username e password. Il proxy invia subito queste credenziali al vero servizio, il quale richiede come di consueto il secondo fattore di autenticazione. - **La convalida MFA:** La vittima riceve la richiesta di approvazione sulla propria app di autenticazione o il codice numerico monouso e autorizza l'accesso in totale buona fede. Dal punto di vista dell'utente, l'esperienza appare del tutto identica a una normale sessione di lavoro. - **La cattura del cookie di sessione:** Dopo l'approvazione dell'MFA, il server legittimo emette un token di autenticazione (cookie di sessione) per mantenere attiva la connessione. È proprio questo token che il proxy AiTM cattura prima di reindirizzare la vittima verso una pagina innocua. Ottenuto il cookie di sessione, il cybercriminale lo inserisce nel proprio browser. In questo modo scavalca la password, l'app MFA e persino eventuali modifiche delle credenziali, accedendo direttamente all'ambiente aziendale senza generare anomalie evidenti. --- ## Perché i metodi 2FA tradizionali non bastano contro il furto di sessione? > **In sintesi: I sistemi MFA tradizionali come SMS, app TOTP e notifiche push non collegano crittograficamente la sessione al dominio web reale. Provano l'identità dell'utente in un determinato istante, ma non convalidano la legittimità dell'URL presente nel browser.** I codici OTP mostrati su un'app o recapitati via SMS condividono un limite intrinseco: dipendono dall'intervento manuale della persona. Ogni volta che un collaboratore deve leggere una sequenza di cifre per inserirla in un campo web, esiste il rischio che venga manipolato fino a trascriverla su un portale contraffatto. ### Il limite delle notifiche push e dei codici TOTP Anche le notifiche push con abbinamento numerico (number matching) risultano esposte agli attacchi AiTM. Il reverse proxy inoltra il numero generato dal server autentico direttamente sullo schermo dell'utente ingannato, che selezionerà la cifra corrispondente sul proprio dispositivo mobile senza alcun sospetto. ### La necessità dell'autenticazione FIDO2 e delle Passkey Per eliminare questa vulnerabilità strutturale, gli standard di settore si orientano verso meccanismi a prova di phishing (phishing-resistant MFA) basati sui protocolli FIDO2 e WebAuthn: - **Associazione crittografica al dominio:** Durante l'autenticazione FIDO2 (tramite chiavetta di sicurezza hardware o Passkey), il browser dialoga direttamente con il componente hardware sicuro, trasmettendo l'esatto indirizzo URL del sito web visitato. - **Blocco automatico sui domini contraffatti:** Se l'utente si trova su un dominio malevolo (ad esempio `login-sicuro-azienda.com` anziché il dominio ufficiale), la chiave crittografica rifiuta di firmare la richiesta poiché l'origine web non coincide. Il proxy AiTM non riceve alcun dato valido e non può sottrarre alcun cookie di sessione. --- ## Come proteggere i dipendenti dal phishing AiTM nella pratica? L'implementazione estesa di chiavi fisiche FIDO2 e Passkey richiede pianificazione e interventi sulle architetture IT. Parallelamente a questa evoluzione tecnologica, diverse misure operative consentono di ridurre in modo significativo l'esposizione al rischio. ### Rafforzare le policy di accesso condizionale Riduci l'efficacia dei cookie di sessione sottratti applicando controlli rigorosi: - **Requisito di dispositivi conformi:** Blocca l'utilizzo di sessioni provenienti da endpoint non registrati o non conformi alle policy di sicurezza aziendali (gestione tramite MDM). - **Restrizioni geografiche e analisi dei viaggi impossibili:** Rileva connessioni incompatibili a livello temporale, come una convalida avvenuta a Milano seguita da una chiamata API proveniente da un altro continente pochi minuti dopo. - **Riduzione della durata dei token:** Accorcia la persistenza delle sessioni web per richiedere riautenticazioni frequenti sulle applicazioni critiche per l'organizzazione. ### Allenare i team a verificare l'URL nel browser Il tallone d'Achille di un attacco AiTM rimane l'indirizzo web: l'attaccante non può utilizzare il dominio identico del fornitore originale. La verifica meticolosa della barra degli indirizzi nel browser costituisce quindi una linea difensiva fondamentale. Per consolidare queste abitudini operative in tutta l'organizzazione, l'esperienza pratica sul campo è determinante. Con [Super Phisher](/it/catalogo/super-phisher/), il nostro simulatore di campagne di phishing formativo implementato insieme ai nostri specialisti, puoi esporre i team a simulazioni realistiche e attuali per verificare la loro capacità di riconoscere le incongruenze negli URL prima di inserire i propri dati di accesso. --- ## Verso una postura di sicurezza integrata tra tecnologia e fattore umano Il phishing basato sull'elusione del secondo fattore conferma la velocità con cui evolvono le strategie degli attaccanti. Affidarsi unicamente a un presidio tecnologico senza adeguare la preparazione dei dipendenti crea un falso senso di sicurezza rischioso. La difesa più efficace combina l'adozione progressiva di standard FIDO2, la configurazione puntuale dell'accesso condizionale e l'allenamento continuo dei collaboratori contro le tecniche di ingegneria sociale avanzate. Vuoi valutare la capacità di risposta della tua organizzazione rispetto alle minacce informatiche correnti e strutturare un piano formativo su misura? [Condividi le tue esigenze](/it/appuntamento/) con il nostro team per approfondire i nostri percorsi operativi. ### 15 / 30 / 60 / 90-Day Rollout Plan: Phishing AiTM: Perché anche il codice 2FA inserito su un sito clone viene rubato | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Il proxy speculare | L'attaccante configura un server proxy inverso sotto un dominio ingannevole. Quando la vittima clicca sul link malevolo, il proxy carica l'autentica… | Come fa un kit di phishing AiTM a intercettare il token di… | | **D+30 · Pilot** | Associazione crittografica al dominio | Durante l'autenticazione FIDO2 (tramite chiavetta di sicurezza hardware o Passkey), il browser dialoga direttamente con il componente hardware… | Perché i metodi 2FA tradizionali non bastano contro il furto di… | | **D+60 · Rollout** | Requisito di dispositivi conformi | Blocca l'utilizzo di sessioni provenienti da endpoint non registrati o non conformi alle policy di sicurezza aziendali (gestione tramite MDM). | Come proteggere i dipendenti dal phishing AiTM nella pratica? | | **D+90 · Audit** | L'intercettazione del primo fattore | L'utente inserisce username e password. Il proxy invia subito queste credenziali al vero servizio, il quale richiede come di consueto il secondo… | Come fa un kit di phishing AiTM a intercettare il token di… | --- ## Per approfondire: articoli correlati e soluzioni Brain Security ### Articoli complementari su questo tema - **[Social engineering sui social professionali: Quando una falsa offerta nasconde un'intrusione](/it/sicurezza-informatica/social-engineering-social-network-false-offerte-lavoro/)** (Phishing e Ingegneria sociale) : Scopri come i cybercriminali sfruttano i social network professionali per colpire i dipendenti tramite false offerte di lavoro e sottrarre accessi critici. - **[Tasso di segnalazione phishing: perché il CISO deve superare il tasso di clic](/it/sicurezza-informatica/tasso-segnalazione-phishing-ciso-click-rate/)** (Phishing e Ingegneria sociale) : Scopri perché il tasso di segnalazione phishing supera il tasso di clic nel ridurre il rischio e proteggere l'azienda in pochi minuti. - **[Baiting e chiavette USB infette: perché la curiosità resta un vettore di intrusione micidiale](/it/sicurezza-informatica/baiting-chiavette-usb-infette-sicurezza-fisica/)** (Phishing e Ingegneria sociale) : Scopri come un attacco baiting via USB inganna i tuoi dipendenti e quali riflessi di sicurezza fisica adottare per proteggere l'azienda. - **[Studi legali e società di consulenza: Proteggere il segreto professionale dagli attacchi mirati](/it/sicurezza-informatica/sicurezza-cyber-studi-legali-consulenza-phishing/)** (Settori e Ruoli) : Scopri perché studi legali e società di consulenza sono nel mirino dei cybercriminali e come difendere i professionisti dal pericolo del spear-phishing. ### Scoprire le soluzioni Brain Security sul sito - **Soluzione associata : [Super Phisher](/it/catalogo/super-phisher/)** : Il simulatore di phishing che allena i Suoi team agli attacchi reali, dalla falsa e-mail al QR code trappola, in un quadro controllato che non cattura mai una password. - **[Consultare i casi d’uso per obiettivo e settore](/it/casi-duso/)** - **[Confrontare i nostri formati di sensibilizzazione cyber e IA](/it/confronto/)** - **[Esplorare l’intero catalogo interattivo di Brain Security](/it/catalogo/)** - **[Parlare delle vostre esigenze con il nostro team (demo e attivazione)](/it/appuntamento/)** --- - https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [Deutsch](https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Dansk](https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)