Microsoft afferma che l'aggiunta di AMF può impedire il 99,9% di tutti gli hack degli account

L'autenticazione a due fattori (2FA) o l'autenticazione a più fattori (MFA) non è (e non sarà mai) perfetta. I criminali informatici motivati hanno già sviluppato una varietà di strumenti e tecniche diversi che li aiutano a bypassare il 2FA e li hanno utilizzati negli attacchi del mondo reale. A giorni alterni, leggiamo come i codici OTP possono essere phishing e come mezzi come e-mail e SMS non forniscono la sicurezza richiesta per trasmettere questo tipo di informazioni. Anche le app specializzate come Google Authenticator non sono immuni da attacchi di successo, il che rende molti dubbi sulla sicurezza aggiuntiva fornita da 2FA. In una presentazione durante la conferenza RSA del mese scorso a San Francisco, Alex Weinert, direttore della Identity Security di Microsoft, ha pubblicato alcune statistiche che mostrano quanto possano essere irrilevanti queste paure.

Quasi tutti gli account aziendali compromessi non utilizzano MFA

Le cifre mostrate da Weinert riguardavano gli utenti aziendali di Azure AD, il sistema di gestione delle identità e degli accessi di Microsoft, e fungono da prova (come se fosse necessaria una prova) che gli account aziendali basati su cloud vengano costantemente compromessi. Solo nel mese di gennaio, Microsoft ha rilevato attacchi di successo contro non meno di 1,2 milioni di account. Secondo Weinert, ciò rappresenta lo 0,5% di tutti gli utenti, il che potrebbe non sembrare molto, ma se si considera che si tratta solo delle statistiche mensili, le cose iniziano a sembrare un po 'più preoccupanti. Ciò che è ancora più spaventoso, tuttavia, è l'apparente prevenzione di tutti questi attacchi.

Un enorme 99,9% di tutti gli account compromessi con successo non è stato protetto da AMF., Il che dimostra davvero quanto a volte possa essere mal riposta l'attenzione. Mentre le persone non riescono ad attivare l'autenticazione a più fattori perché temono che un utente malintenzionato motivato possa rubare i loro codici temporanei, gli stessi utenti malintenzionati si rompono i conti senza la necessità di tali codici. È chiaro che i tassi di adozione sono ancora bassi, e sebbene i ricercatori della sicurezza che scoprono difetti nei sistemi 2FA lo facciano per il bene più grande di tutti, sottolineando i punti deboli, stanno inavvertitamente dissuadendo le persone dalla funzionalità. Va detto che questo non è l'unico problema.

Anche i protocolli di autenticazione legacy e la cattiva gestione delle password aiutano gli hacker

Non dobbiamo dimenticare che stiamo parlando di account aziendali, il che rende immediatamente le cose molto più complicate. Come sottolineato da Microsoft, spesso MFA non è nemmeno un'opzione per gli utenti.

Secondo il fornitore di sistemi operativi più famoso al mondo, la stragrande maggioranza degli attacchi di acquisizione di account sono rivolti a organizzazioni che utilizzano ciò che Microsoft chiama "autenticazione legacy". Queste organizzazioni hanno costruito le loro intere infrastrutture IT attorno a vecchi protocolli che non consentono affatto 2FA. Chiaramente, gli aggressori sanno quanto possano essere deboli questi protocolli e non eviteranno di trarre vantaggio da questo fatto. Sfortunatamente, il passaggio a un sistema di autenticazione più moderno e sicuro spesso comporta molto lavoro e tempi di inattività che le aziende semplicemente non possono permettersi, il che significa che agli utenti non viene mai data la possibilità di utilizzare l'autenticazione a due fattori. Tuttavia, questa non dovrebbe essere una scusa per la loro scarsa sicurezza dell'account.

Alex Weinert ha dichiarato nella sua presentazione che gli hacker hanno utilizzato la password spray per hackerare circa il 40% degli account compromessi di gennaio. In un attacco a spruzzo di password, i criminali informatici utilizzano un elenco relativamente breve di password di uso comune e le mettono alla prova con una gamma più ampia di nomi utente. Poiché molte persone tendono a utilizzare password comuni e facili da indovinare, gli attacchi hanno spesso successo.

Un altro 40% degli 1,2 milioni di account che sono stati aperti durante il primo mese dell'anno è stato vittima di violazioni degli attacchi replay. Apparentemente, la violazione del replay è il termine di Microsoft per il riempimento delle credenziali, un attacco durante il quale gli hacker utilizzano nomi utente e password rubate da un servizio online per aprire account su più altri siti Web. Ancora una volta, l'atteggiamento negligente delle persone nei confronti della sicurezza dei propri account e la loro tendenza a riutilizzare le password rendono l'attacco molto efficace.

In teoria, prevenire gli attacchi di acquisizione di account in un ambiente aziendale è un lavoro relativamente semplice, ma il fatto è che ci sono alcuni fattori in gioco. La scoperta di vulnerabilità mette in dubbio l'efficienza di 2FA, che, unita al fatto che la funzione non è disponibile in tutti i sistemi aziendali, si traduce in scarsi dati di adozione.

Per migliorare veramente lo stato delle cose, le persone devono rendersi conto di quanto sia importante la corretta gestione delle password. Le aziende e i fornitori di servizi devono fare tutto il possibile per garantire che la sicurezza aggiuntiva fornita da 2FA sia sempre disponibile e gli utenti dovrebbero fare i conti con il fatto che, sebbene non sia una panacea, questa semplice funzionalità può spesso fare la differenza tra un account compromesso e sicuro.