Ecco come i truffatori riescono a bypassare l’autenticazione a due fattori con bot e altre strategie

Certamente, il autenticazione a due fattori Protegge fedelmente i nostri account sui social network o sulle piattaforme, impedendo che la sola fuga della nostra password sia sufficiente per consentire a terzi di accedere al nostro conto bancario, ad esempio. Tuttavia, gli hacker innovano e creano metodi per sfruttare l’errore umano per acquisire quella seconda verifica.

La 2FA prevede di chiedere all’utente una seconda informazione univoca a cui solo lui o lei ha accesso. È vero che questa doppia verifica può consistere nel riconoscimento del volto o dell’impronta digitale, in modo da poterlo fare dal nostro telefono senza dover ricevere dati esterni. Tuttavia, molte volte la seconda chiave è costituita da un tasto numerico o alfanumerico, cioè a password una tantum (noto come OTP, acronimo di “one time password”), che ci viene inviato tramite email o SMS.

Se i criminali riescono ad accedere alla nostra posta elettronica o al nostro telefono tramite un precedente hack, o convincono l’utente tramite phishing a inviare quel codice a una pagina fraudolenta, saranno in grado di catturare questo secondo fattore e potranno provare ad accedere al nostro account. Come spiegato dalla società di soluzioni antivirus Kaspersky, i criminali informatici hanno trovato un modo per accelerare e automatizzare questo processo di furto di password monouso: lo fanno utilizzando i bot OTP.

Cos’è un bot OTP?

Gli OTP sono programmi che i criminali possono sfruttare guida da un pannello di controllo su un sito web o da Telegram, e che si presentano come entità legittime come banche o altre piattaforme. Per poterli utilizzare, i truffatori devono prima avere un qualche tipo di accesso all’account della vittima e anche la normale password di uno dei loro servizi.

Avendo un canale di accesso all’utente e alcune informazioni su di lui come numero di telefono o nome, l’hacker accede all’account della vittima, dopodiché la vittima riceve il codice di autenticazione sul proprio dispositivo. Dietro questo, il bot avvia una chiamata che, fingendosi una segreteria telefonica, chiederà alla vittima (idealmente nella sua lingua madre e chiamandola per nome), di inserire la password monouso.

Bot OTP

Se l’utente è ingenuo e inserisce il codice, questo raggiungerà l’aggressore tramite Telegram, così l’aggressore potrà accedere all’account della vittima. Cioè, ciò che fa il bot è fondamentalmente chiamare la vittima al telefono, cercando di sembrare il più convincente possibile. Nell’immagine sopra è possibile vedere la pubblicità di uno di questi bot su Telegram.

In sintesi, un utente malintenzionato può tentare di violare il sistema 2FA utilizzando le seguenti tecniche:

  • Phishinginvio di email fraudolente.
  • Ingegneria socialeper convincere la vittima di essere stata contattata dalla vera azienda.
  • Scambio SIMper poter accedere alle chiamate o leggere gli SMS.
  • Malware con cui vedere cosa succede sul tuo telefonino.
  • Attacchi uomo nel mezzo per intercettare la connessione tra sistema di sicurezza e utente.

Inoltre, i truffatori potrebbero cercare di ottenere maggiori informazioni sull’utente cercando leak nel dark web, conducendo ricerche OSINT o attraverso precedenti attacchi di phishing, con cui apprendere, ad esempio, il suo indirizzo, numero di telefono o data di nascita.

Per evitare di cadere vittima di questo tipo di truffe, ecco alcune misure che puoi adottare:

  • Non ignorare i codici monouso arrivati ​​senza che tu abbia tentato di accedere al servizio.
  • Utilizza un’app come Google Authenticator per ricevere questi codici, invece di SMS o e-mail.
  • Non inserire codici monouso sulla tastiera del cellulare durante una chiamata.
 
For Latest Updates Follow us on Google News
 

-

PREV Questa è la pianta che potrebbe crescere su Marte secondo gli esperti – En Cancha
NEXT PlayStation Plus aggiunge un nuovo vantaggio limitato a questo fine settimana