Phishing adversary-in-the-middle: cum învinge EvilGinx MFA

Autentificarea cu mai mulți factori trebuia să facă inutile parolele furate. Phishingul adversary-in-the-middle (AiTM) — popularizat de framework-uri open source precum EvilGinx — a spart în tăcere acea presupunere furând sesiunea, nu parola. Înțelegerea felului în care funcționează este primul pas către apărare.

Ce este phishingul adversary-in-the-middle

Phishingul clasic îi arată victimei o clonă statică a unei pagini de login și doar înregistrează ce tastează. Nu poate gestiona un cod de unică folosință în direct și nu poate trece o adevărată provocare MFA.

Phishingul AiTM elimină această limitare introducând un proxy invers între victimă și site-ul autentic. Serverul atacatorului nu găzduiește deloc o pagină falsă — retransmite pe cea reală:

Victimă → login.micros0ft-verify.example (proxy-ul atacatorului) → login.microsoftonline.com

Fiecare cerere a victimei este trimisă către serviciul legitim, iar fiecare răspuns este returnat. Victima vede fluxul de login autentic — branding real, mesaje de eroare reale, solicitări MFA reale — fiindcă, de fapt, vorbește cu serviciul real, doar printr-un releu care citește totul în tranzit.

De ce învinge OTP-ul și push-ul

Ideea crucială este că atacatorul nu încearcă să vă cunoască parola sau codul. Încearcă să captureze ceea ce produce login-ul reușit: cookie-ul de sesiune autentificat.

• Victima introduce numele de utilizator și parola → retransmise către site-ul real.
• Site-ul real emite o provocare MFA → returnată victimei.
• Victima aprobă push-ul sau tastează OTP-ul → retransmis către site-ul real.
• Site-ul real validează totul și returnează un token de sesiune → proxy-ul îl captează.

În acel moment OTP-ul și-a îndeplinit deja rolul și este inutil de reluat. Atacatorul importă cookie-ul furat în propriul browser și este autentificat ca utilizatorul — fără parolă, fără cod, fără a doua solicitare. De aceea codurile SMS, aplicațiile authenticator TOTP și aprobările push cad toate în fața unui montaj AiTM competent: fiecare este un secret partajat pe care omul poate fi păcălit să-l retransmită în timp real.

Solicitarea MFA pe care victima a aprobat-o era autentică. Exact asta face AiTM atât de eficient — nimic nu pare greșit pentru utilizator și nimic nu pare greșit pentru furnizorul de identitate.

De ce se chinuie apărările existente

• Domeniul este adesea nou-nouț. Domeniile asemănătoare abia înregistrate nu au un istoric de reputație de semnalat.
• TLS-ul pare legitim. Proxy-ul servește un certificat valid; lacătul este prezent.
• Conținutul este real. Scanarea bazată pe semnături nu găsește nimic fals de potrivit, fiindcă pagina este cea autentică, retransmisă.
• Ferestrele de detecție sunt scurte. Kiturile folosesc filtrare anti-analiză, linkuri de unică folosință și geofencing, astfel încât un URL viu pentru victimă returnează o pagină inofensivă unui SOC care investighează.

Soluția reală: MFA rezistentă la phishing

AiTM funcționează fiindcă al doilea factor trece prin atacator. Eliminați această posibilitate și atacul se prăbușește. FIDO2 / WebAuthn și passkey-urile leagă credențiala criptografic de exact originea web pentru care a fost înregistrată:

Credențială înregistrată pentru : https://login.microsoftonline.com
Browserul vede originea          : https://login.micros0ft-verify.example
→ nepotrivire de origine → autentificatorul refuză să semneze → login-ul eșuează

Nu există cod de retransmis și niciun cookie de recoltat, fiindcă autentificarea nu reușește niciodată împotriva originii greșite. Browserul impune asta — nu utilizatorul. Controale complementare întăresc restul:

• Acces condiționat care leagă sesiunile de conformitatea dispozitivului și de rețele gestionate.
• Protecția tokenurilor / evaluarea continuă a accesului pentru a reduce valoarea unui cookie furat.
• Detecție rapidă a domeniilor asemănătoare abia înregistrate prin monitorizarea certificate transparency.

Scopul este MFA rezistentă la phishing ca obligatorie, nu doar disponibilă — orice soluție de rezervă phishabilă este o cale către care atacatorii îi îndrumă pe utilizatori.

Cum automatizează GottaPhish simulările AiTM

Atacurile AiTM înving MFA cu OTP și push retransmițând sesiunea în timp real, și niciun proxy sau filtru singur nu închide acel gol în mod fiabil. GottaPhish și echipa sa de experți reproduc scenarii adversary-in-the-middle automat și în siguranță în cadrul unor simulări autorizate — nu există nicio infrastructură de atac pe care echipa dumneavoastră să o ridice, să o găzduiască sau să o demonteze. Demonstrăm, cu audit complet, cum MFA cu OTP și push cade în fața unui proxy real în timp ce credențialele rezistente la phishing rezistă, oferindu-vă date măsurabile de expunere pe utilizator, departament și rol; specialiștii noștri vă ajută să concepeți scenariile, să configurați campaniile și să interpretați rezultatele. Această dovadă face concret argumentul de business pentru FIDO2/passkey, iar raportările noastre urmăresc adoptarea alături de ratele dumneavoastră de clic și de raportare, ca să puteți dovedi că golul phishabil chiar se închide — nu doar că o politică există pe hârtie.