Partiamo da una considerazione importante: per un attaccante è generalmente più complesso compromettere un'autenticazione MFA che utilizza come secondo fattore un SMS o una chiamata vocale rispetto a un'autenticazione basata esclusivamente su username e password...
Il limite di questi metodi, tuttavia, risiede nell'infrastruttura su cui si appoggiano. SMS e chiamate vocali utilizzano infatti la rete telefonica, che non è stata progettata come sistema di autenticazione crittografica. In particolare, il secondo fattore di autenticazione trasmesso all'utente può essere letto, comunicato a terzi, intercettato o trasferito.
Quali attacchi possono compromettere la MFA tramite SMS?
Sono diversi gli scenari di attacco ai quali può essere esposta un'autenticazione che utilizza gli SMS come secondo fattore:
- SIM Swapping: quando l'attaccante prende il controllo del numero telefonico
L'obiettivo dell'attaccante è quello di ottenere il controllo del numero telefonico della vittima.
Per farlo può raccogliere preventivamente informazioni personali attraverso tecniche di phishing e social engineering, malware, social network o altre fonti. Questi dati vengono poi utilizzati per impersonare la vittima presso l'operatore telefonico e richiedere l'attivazione di una nuova SIM associata allo stesso numero, provocando contemporaneamente la disattivazione di quella originale.
A quel punto, un eventuale codice MFA inviato tramite SMS viene ricevuto direttamente dall'attaccante.
Il SIM swapping non rappresenta un rischio puramente teorico. Anche in Italia sono stati documentati numerosi casi di frode nei quali gli attaccanti sono riusciti a ottenere una nuova SIM associata al numero telefonico della vittima.
Il fenomeno è stato oggetto di interventi della Banca d'Italia, dell'Arbitro Bancario Finanziario, del Garante Privacy e di diverse pronunce dei tribunali italiani.
- Social Engineering: colpire direttamente la vittima
Non è sempre necessario compromettere l'infrastruttura telefonica per aggirare un secondo fattore basato su SMS. In molti casi, può essere più semplice convincere direttamente l'utente a fornire il codice di autenticazione.
Immaginiamo che l'attaccante sia già in possesso di username e password della vittima, ottenuti, ad esempio, attraverso una precedente violazione o reperiti nel dark web.
Per completare l'accesso, l'attaccante contatta direttamente la vittima fingendosi un membro del supporto IT e segnala un presunto problema di sicurezza o di accesso all'account.
La vittima riceve quindi un vero SMS di autenticazione da Microsoft. Convinta di parlare con il supporto IT legittimo, comunica il codice all'attaccante.
Il problema, in questo caso, è che il secondo fattore di autenticazione è un'informazione che l'utente può leggere e comunicare a un'altra persona.
- Adversary-in-the-Middle: il furto della sessione autenticata
In questo scenario l'attaccante inserisce un'infrastruttura proxy tra l'utente e il servizio di autenticazione legittimo.
La vittima è convinta di interagire con il normale processo di autenticazione di Microsoft. In realtà, l'attaccante attraverso il proxy inoltra in tempo reale le risposte al servizio di Microsoft Online: username, password, risposta MFA, compreso l'eventuale codice ricevuto tramite SMS.
Una volta completata correttamente l'autenticazione, l'obiettivo dell'attaccante è sottrarre il token o cookie della sessione autenticata.
Questo può consentirgli di accedere da un altro dispositivo utilizzando l'identità della vittima oppure, in determinati scenari, di registrare un nuovo dispositivo e mantenere così la possibilità di autenticarsi nuovamente anche nei giorni successivi.
Microsoft Threat Intelligence ha documentato diverse campagne AiTM nelle quali gli attaccanti sono riusciti a sottrarre token e cookie di sessione, accedere successivamente alle mailbox delle vittime e utilizzare gli account compromessi anche per attività di Business Email Compromise (BEC).
E le chiamate vocali?
Anche le chiamate telefoniche si appoggiano alla Public Switched Telephone Network (PSTN) e dipendono dal controllo del numero telefonico dell'utente.
Di conseguenza, tecniche come SIM swapping, portabilità fraudolenta del numero, social engineering e compromissione dell'infrastruttura telefonica possono incidere anche sull'affidabilità di questo metodo di autenticazione.
Microsoft dice addio a SMS e chiamate vocali per l'MFA
Microsoft ha annunciato un cambiamento importante per Microsoft Entra ID: dal 1° febbraio 2027 Microsoft non fornirà più direttamente il servizio di autenticazione tramite SMS e chiamate vocali.
È importante però chiarire un punto: Microsoft non eliminerà SMS e chiamate vocali come metodi MFA in assoluto. Cesserà invece di offrirne direttamente il servizio di recapito all'interno di Microsoft Entra ID.
Vediamo quindi quali saranno le principali tappe di questa transizione dopo le vacanze estive:
- Dal 1° settembre 2026Le passkey diventeranno il metodo di autenticazione predefinito in Microsoft Entra ID.Microsoft guiderà gli utenti verso la registrazione di una passkey attraverso una procedura dedicata, in particolare nei seguenti casi:utenti che sono abilitati nei metodi di autenticazione in Entra per utilizzo di SMS o chiamate vocali;utenti che hanno registrato solo SMS o chiamate vocali come metodo MFA;utenti che hanno registrato SMS/chiamata vocale insieme ad altri metodi di autenticazione (esclusi Passkey ovviamente) quale per esempio Microsoft Authenticator.In questa prima fase l'utente potrà comunque selezionare l'opzione “Skip for now” e rimandare la registrazione.
- Dal 1° febbraio 2027Microsoft ritirerà il proprio servizio di recapito SMS e chiamate vocali per MFA.Le organizzazioni che vorranno continuare a utilizzare questi metodi dovranno affidarsi a un provider telefonico di terze parti, integrato tramite il Microsoft Security Store, sostenendone i relativi costi.Gli utenti saranno obbligati a registrare una passkey, senza più la possibilità di saltare la procedura.
Cosa deve o può fare oggi un amministratore di Microsoft Entra?
- Individuare gli utenti abilitati per SMS o chiamate vocali.
Microsoft ha pubblicato su Github uno script PowerShell per individuare gli utenti abilitati a SMS/Voice.
Lo script è disponibile qui:
microsoft
- Abilitare le passkey e pianificare una migrazione graduale
È possibile abilitare le passkey nel proprio tenant e utilizzare una Registration Campaign per accompagnarne progressivamente l'adozione.
In alternativa, è possibile iniziare a spostare gli utenti verso altri metodi più sicuri rispetto a SMS e chiamate vocali, come ad esempio Microsoft Authenticator.
Qui sotto trovate tutte le info per abilitare la campagna:
Justinha
- Disattivare temporaneamente l'attivazione automatica della Passkey.
Per disattivare questa opzione, è necessario aggiornare i criteri relativi ai metodi di autenticazione utilizzando Microsoft Graph e impostando la proprietà passkeyDynamicMigration su true.
- Dopo il 1 Febbraio 2027 non sarà più possibile evitare la registrazione della Passkey per gli utenti coinvolti dalla migrazione.
Conclusioni
Microsoft ha annunciato questo cambiamento a Luglio 2026 in un contesto in cui gli attacchi alle identità stanno diventando sempre più frequenti e sofisticati e nel quale anche l'Intelligenza Artificiale sta offrendo agli attaccanti nuovi strumenti per rendere phishing e social engineering più credibili ed efficaci.
E' quindi necessario adottare metodi di autenticazione più sicuri e in questo momento le Passkey (device bound o synced) aiutano ad avere autenticazioni phishing resistant.
Come detto sopra la notizia è abbastanza recente ma il tempo per prepararsi alla transizione non è così ampio.
Microsoft deve inoltre ancora completare alcune informazioni operative, ad esempio relativamente alla scelta dei provider esterni a pagamento, e continua ad aggiornare la documentazione in vista delle prossime scadenze, a partire dal 1° settembre 2026.
Per questo motivo vi invito a consultare periodicamente questo link:
marinasanchezz1
Discussioni