Che cosa è un attacco Man-in-the-Middle e come prevenirlo

Un attacco man-in-the-middle (MITM) avviene quando un aggressore intercetta le comunicazioni o i trasferimenti di dati, impersonando una delle parti coinvolte. Questo consente ai criminali di dirottare le informazioni senza che la vittima se ne accorga.

Gli hacker possono intercettare i dati che transitano tra il tuo dispositivo e Internet, ottenendo potenzialmente accesso a informazioni sensibili come le credenziali di accesso, all’insaputa dell’utente. Capire come funzionano gli attacchi MITM è essenziale per proteggersi online, permettendo di riconoscere e mitigare queste minacce, garantendo così la propria privacy e sicurezza in un mondo sempre più connesso.

Gli esperti di Panda Security in questo articolo offrono una guida su cosa sia un attacco Man-in-the-Middle (MITM), spiegano il suo funzionamento, come rilevarlo e forniscono consigli pratici su come prevenirlo.

Che cosa è un attacco Man-in-the-Middle (MITM)?

«Un attacco MITM è un tipo di attacco informatico in cui gli aggressori intercettano una conversazione o un trasferimento di dati esistente, origliando o fingendo di essere un partecipante legittimo. Alla vittima, sembrerà che sia in corso uno scambio standard di informazioni, ma inserendosi nel “mezzo” della conversazione o del trasferimento di dati, l’aggressore può tranquillamente dirottare le informazioni.

L’obiettivo di un attacco MITM spoofing è recuperare dati riservati come i dettagli del conto bancario, i numeri delle carte di credito o le credenziali di accesso, che possono essere utilizzati per compiere altri crimini come il furto di identità o i trasferimenti illegali di fondi. Poiché gli attacchi MITM vengono eseguiti in tempo reale, spesso non vengono rilevati finché non è troppo tardi.

Come funziona un attacco MITM?

Ecco una ripartizione semplificata del funzionamento di un attacco MITM in tre fasi:

1. Intercettazione: l’attaccante imposta un falso hotspot Wi-Fi in uno spazio pubblico, spesso senza richiedere una password. Quando una vittima si connette a questo hotspot, l’attaccante può intercettare qualsiasi scambio di dati online, come e-mail e accessi a siti Web.
2. Posizionamento tra vittima e destinazione: l’aggressore utilizza tecniche come l’IP spoofing, modificando i pacchetti IP per impersonare il sistema informatico della vittima e reindirizzarla al sito web dell’aggressore.
3. Decrittografia: tramite tecniche come HTTPS spoofing, SSL hijacking e SSL stripping, l’hacker decifra i dati intercettati, rendendo l’attività della vittima visibile all’aggressore.

Esempio reale

L’incidente di Lapsus$ che ha preso di mira Office 365 nel 2022 evidenzia come gli aggressori possano combinare tecniche MITM con il social engineering. Falsificando la pagina di accesso di Office 365, il gruppo Lapsus$ ha rubato le credenziali utente e aggirato l’autenticazione a più fattori (MFA) per accedere agli account di posta elettronica.

Tipi di attacchi MITM

Gli hacker utilizzano varie tecniche per effettuare attacchi man-in-the-middle, mirando a intercettare e manipolare la comunicazione tra due parti. Ecco alcuni tipi comuni di attacchi MITM: 

ARP Spoofing

Lo spoofing ARP è una tecnica utilizzata dagli aggressori per intercettare e manipolare pacchetti di dati in una rete. Inviando messaggi ARP (Address Resolution Protocol) falsificati, l’aggressore collega il proprio indirizzo MAC all’indirizzo IP del dispositivo della vittima, ingannando la rete e inducendola a inviare pacchetti di dati all’aggressore anziché al destinatario previsto. Ciò consente all’aggressore di intercettare la comunicazione, modificare i dati o lanciare ulteriori attacchi alla rete.

DNS Spoofing

Il DNS spoofing , o DNS cache poisoning, è un tipo di attacco man-in-the-middle in cui un aggressore altera le informazioni in un server Domain Name System (DNS) per reindirizzare gli utenti a siti Web dannosi. Manomettendo i record DNS, l’aggressore può ingannare gli utenti inducendoli a visitare siti Web falsi che assomigliano molto a quelli legittimi.  

SSL Stripping

Lo SSL stripping è una tecnica utilizzata dagli aggressori negli attacchi MITM per declassare la connessione HTTPS sicura di una vittima a una connessione HTTP non sicura.

Intercettando la comunicazione tra la vittima e il sito Web, l’attaccante rimuove il livello di crittografia (SSL/TLS) dalla connessione. Ciò rende l’attività della vittima visibile all’attaccante in testo normale e non crittografato, consentendogli di catturare informazioni sensibili come credenziali di accesso, dettagli finanziari e dati personali scambiati tra la vittima e il sito Web.

IP Spoofing

L’IP spoofing è una tecnica mediante la quale gli aggressori manipolano i pacchetti IP per impersonare il sistema informatico della vittima, reindirizzandola a siti Web dannosi.

Alterando l’indirizzo IP sorgente nei pacchetti, gli aggressori fanno sembrare che i dati provengano da una fonte attendibile, ingannando i sistemi affinché li accettino e li elaborino. Ciò consente agli aggressori di intercettare e manipolare la comunicazione tra la vittima e la destinazione prevista, portando a potenziali furti di dati o accessi non autorizzati.

Email Hijacking

L’email hijacking si verifica quando un aggressore ottiene l’accesso non autorizzato all’account email di qualcuno, spesso tramite phishing o malware, e ne prende il controllo senza che il proprietario ne sia a conoscenza. Una volta dirottato, l’aggressore può leggere, inviare ed eliminare email, nonché accedere a qualsiasi account collegato o informazione sensibile contenuta nelle email. L’email hijacking può portare a violazioni della privacy, frodi finanziarie e persino furto di identità .

Stealing Browser Cookies

Il furto dei cookie del browser avviene tramite l’intercettazione e l’ottenimento dei cookie memorizzati sul browser web della vittima senza che questa ne sia a conoscenza.

Questi cookie contengono informazioni quali credenziali di accesso, token di sessione e cronologia di navigazione, che l’aggressore può sfruttare per ottenere un accesso non autorizzato agli account della vittima, tracciare le sue attività online o impersonarla sui siti web.

Session Hijacking

Il dirottamento di sessione è un tipo di attacco informatico in cui un aggressore intercetta e prende il controllo di una sessione in corso tra un utente e un sito web o un servizio.

Ciò avviene in genere rubando l’ID sessione o il token utilizzato per autenticare la sessione dell’utente, consentendo all’aggressore di impersonare l’utente e ottenere l’accesso non autorizzato al suo account o ai suoi dati. Una volta dirottato, l’aggressore può eseguire azioni per conto dell’utente, come effettuare transazioni, inviare messaggi o accedere a informazioni sensibili.

Come rilevare un attacco MITM: 5 segnali

Rilevare un attacco MITM può essere difficile, ma ci sono diversi segnali a cui fare attenzione:

1. Avvisi HTTPS inaspettati: se il tuo browser mostra avvisi relativi a certificati HTTPS non validi o sospetti, potrebbe essere il segnale che qualcuno sta tentando di intercettare la tua connessione.
2. Attività di rete insolita: un picco inaspettato nell’attività di rete, una bassa velocità di Internet o frequenti disconnessioni possono indicare un possibile attacco MITM.
3. URL o comportamenti strani del sito web: se noti URL strani nella barra degli indirizzi, reindirizzamenti insoliti o siti web che sembrano leggermente diversi dal solito, potrebbe essere un segnale che il traffico viene manipolato.
4. Richieste di accesso ripetute: se ti viene chiesto ripetutamente di accedere a siti web, in particolare a quelli che normalmente ti tengono connesso, potrebbe essere perché qualcuno sta cercando di impossessarsi delle tue credenziali di accesso.
5. Dispositivi non riconosciuti sulla rete: trovare dispositivi sconosciuti connessi alla rete può essere un segnale che un utente non autorizzato ha avuto accesso alla rete, facilitando potenzialmente un attacco MITM.

Se non stai cercando attivamente segnali che le tue comunicazioni online siano state intercettate o compromesse, rilevare un attacco man-in-the-middle può essere difficile. Sebbene sia facile che passino inosservati, ci sono alcune cose a cui dovresti prestare attenzione quando navighi sul web, principalmente l’URL nella barra degli indirizzi.

Ecco come puoi verificare se il sito web è sicuro:

• Un sito web sicuro è contrassegnato dalla dicitura “HTTPS” nell’URL del sito.
• Se in un URL manca la “S” e viene visualizzato “HTTP”, è un segnale d’allarme immediato: la connessione non è sicura.
• Dovresti anche cercare l’ icona del lucchetto SSL a sinistra dell’URL, che indica un sito web sicuro.

Prevenzione degli attacchi Man-in-the-Middle

Sebbene sia importante sapere come rilevare un potenziale attacco MITM, il modo migliore per proteggersi da essi è prevenirli in primo luogo. Assicurati di seguire queste best practice:

• Evita le reti Wi-Fi non protette da password e non utilizzare mai una rete Wi-Fi pubblica per transazioni sensibili che richiedono i tuoi dati personali.
• Utilizza una rete privata virtuale (VPN) , in particolare quando ti connetti a Internet in un luogo pubblico. Le VPN crittografano la tua attività online e impediscono a un aggressore di leggere i tuoi dati privati, come password o informazioni sui conti bancari.
• Per evitare il dirottamento della sessione, è consigliabile disconnettersi dai siti web sensibili (ad esempio quelli di online banking) non appena si è terminato di navigare.
• Mantieni delle abitudini corrette in materia di password , ad esempio non riutilizzare mai le stesse password per account diversi, e utilizza un gestore di password per garantire che le tue password siano il più sicure possibile.
• Utilizza l’autenticazione a più fattori per tutte le tue password.
• Utilizzare un firewall per garantire connessioni Internet sicure.
• Utilizza un software antivirus per proteggere i tuoi dispositivi dal malware.

Mentre il nostro mondo connesso digitalmente continua a evolversi, lo stesso vale per la complessità del cybercrime e lo sfruttamento delle vulnerabilità della sicurezza. Prendersi cura di istruirsi sulle best practice della sicurezza informatica è fondamentale per la difesa dagli attacchi man-in-the-middle e altri tipi di cybercrime. Come minimo, essere dotati di un potente software antivirus contribuisce notevolmente a mantenere i propri dati al sicuro e protetti».

 

https://www.pandasecurity.com/en/mediacenter/man-in-the-middle-attack/