Cisco: autenticazione a più fattori nel mirino dei cybercriminali

Secondo i dati pubblicati nel report del primo trimestre del 2024 di Cisco Talos Incident Response (Talos IR) – la più grande organizzazione privata di intelligence al mondo dedicata alla cybersecurity – quasi la metà di tutti gli incidenti di sicurezza hanno riguardato l’autenticazione a più fattori (Mfa).

Nel 25% dei casi, la causa è stata l’accettazione da parte degli utenti di notifiche push Mfa fraudolente, mentre nel 21% è stata rilevata l’assenza di un’implementazione corretta dell’Mfa. Nonostante negli ultimi anni ci siano stati molti progressi per quanto riguarda l’attivazione dell’autenticazione a più fattori all’interno delle aziende, i criminali informatici continuano a prendere di mira gli account protetti dall’Mfa per poter accedere ai sistemi informativi aziendali.

La tipologia più comune di attacchi che Cisco Talos ha dovuto gestire ha utilizzato le notifiche push Mfa non autorizzate da parte degli utenti. Questa situazione si verifica quando l’aggressore tenta di autenticarsi ripetutamente a un account utente con credenziali valide al fine di sommergere le vittime di notifiche push Mfa fino a quando, per esasperazione, la vittima accetta permettendo l’accesso. Cisco Duo, l’azienda di Cisco che si occupa di servizi di autenticazione multi-factor (Mfa) e di accesso sicuro, ha rilevato, da giugno 2023 a maggio 2024, circa 15mila attacchi basati su notifiche push, constatando inoltre che il momento in cui avvengono questi attacchi è principalmente l’inizio della giornata lavorativa, quando gli utenti si autenticano per accedere ai sistemi aziendali.

Per implementare correttamente l’Mfa, Cisco Talos raccomanda di abilitare il number matching nelle applicazioni Mfa per fornire un ulteriore livello di sicurezza e impedire agli utenti di accettare notifiche push dannose. Inoltre, è importante implementare l’autenticazione a più fattori su tutti i servizi critici, inclusi tutti i servizi di accesso remoto e di gestione dell’accesso all’identità (Iam), oltre a configurare un alert per l’autenticazione al fine di identificare rapidamente anomalie e modifiche nei criteri di autenticazione a più fattori. Infine, è utile investire nella formazione degli utenti per aggiornarli sul panorama delle minacce informatiche e aiutarli a essere vigili, segnalando tempestivamente situazioni sospette.