Sostituire immediatamente la password dopo un attacco informatico non garantisce più la riconquista del proprio account. Una nuova tipologia di minaccia sfrutta la sessione già aperta per inserire porte di accesso secondarie permanenti.
Come funziona l’attacco mirato a Google, Microsoft e iCloud
L’offensiva prende avvio da una comune pagina di phishing, progettata per replicare le interfacce di servizi come Google, Microsoft, iCloud e LinkedIn. Quando la vittima compila il modulo, consegna contemporaneamente le credenziali e l’accesso diretto alla sessione.
La società di cybersicurezza Abnormal, in un report ripreso da TechCrunch, ha identificato lo strumento responsabile: si chiama iAuthFlow v2. Nei forum clandestini del dark web viene venduto a cifre superiori ai 10.000 dollari.
Il software non si ferma alla raccolta delle parole chiave. Approfitta dell’autenticazione completata dall’utente per alterare i parametri interni del profilo prima che il sistema di sicurezza interrompa il collegamento.
Postazione di sicurezza informatica con schermata di login e dispositivi di autenticazione.
La trappola della passkey registrata in sei secondi
Le passkey sono state introdotte per superare le debolezze delle password classiche, sfruttando crittografia, impronte digitali o PIN del dispositivo per impedire le intercettazioni. Se manipolate da un software ostile durante una sessione aperta, possono trasformarsi in una falla definitiva.
Nei test condotti da Abnormal, iAuthFlow v2 ha impiegato appena sei secondi dopo l’accesso della vittima per generare e associare una propria chiave d’accesso all’account. In questo modo l’attaccante dispone di un metodo di autenticazione proprietario che scavalca completamente le vecchie credenziali.
Aggiornare la password rimane una misura obbligatoria, ma non disconnette chi possiede una passkey attiva. Piattaforme come Google integrano blocchi su movimenti anomali, ma non tutte le intrusioni vengono intercettate in tempo reale.
Le verifiche manuali per bonificare il profilo
Chi sospetta una violazione deve esaminare l’elenco completo dei metodi di accesso registrati nelle impostazioni di sicurezza. È indispensabile verificare le passkey attive, i dispositivi autorizzati, i numeri di telefono e gli indirizzi email alternativi.
Vanno controllate con attenzione le applicazioni di terze parti collegate e i permessi delegati, frequenti negli ambienti professionali. Qualsiasi elemento privo di un riconoscimento certo deve essere rimosso sul momento.
La sorveglianza sui filtri e le regole email
Un controllo critico riguarda la configurazione della casella di posta elettronica. Gli aggressori impostano di frequente regole di inoltro automatico per continuare a ricevere copie dei messaggi anche in caso di espulsione dall’account.
Il controllo dello storico delle attività e della verifica in due passaggi permette di isolare accessi anomali. Cancellare regole di smistamento non autorizzate interrompe il flusso di dati verso l’esterno prima di subire ulteriori danni.
