La mia lotta del 2026: Bots & Autenticazione tramite Ingegneria Sociale

Ciao a tutti, Pat Reeves qui, di nuovo su botsec.net. Siamo a marzo 2026, e ho l’impressione che siamo in una costante lotta contro minacce alimentate da bot. Proprio quando pensi di aver padroneggiato un aspetto, ne emerge un altro. Oggi voglio parlare di qualcosa che mi tiene sveglio la notte: l’uso sempre più sofisticato dei bot nell’ingegneria sociale, in particolare per quanto riguarda la violazione dei flussi di autenticazione. Non parliamo più solo di semplici credential stuffing. Stiamo parlando di bot che diventano stranamente abili nell’imitare l’interazione umana per eludere il MFA. Chiamiamolo “Social Bot-neering.”

Oltre la forza bruta: l’ascesa del Social Bot-neering nell’autenticazione

Per anni, quando parlavamo di bot che attaccano l’autenticazione, la nostra mente andava direttamente verso attacchi di forza bruta, credential stuffing, o forse un astuto bypass del CAPTCHA. Queste minacce esistono ancora, non fraintendetemi. Ma recentemente, ho notato una tendenza preoccupante che va oltre queste vulnerabilità puramente tecniche. Stiamo assistendo all’evoluzione di bot progettati per interagire con gli utenti, o addirittura con il personale di supporto tecnico, in modo da indurli a rinunciare all’accesso o ad eludere le misure di sicurezza.

Pensateci. Abbiamo investito molto nell’autenticazione multi-fattore (MFA). Abbiamo TOTP, notifiche push, chiavi FIDO – tutto questo è fantastico. Ma cosa succede quando il punto più debole non è la tecnologia, ma l’umano dall’altra parte, convinto da un bot che deve “verificare” qualcosa, o peggio, che sta parlando con un agente di supporto legittimo?

Il mio personale contatto con un bot intelligente

Ho avuto un’esperienza personale al riguardo qualche mese fa che mi ha davvero aperto gli occhi. Ho ricevuto un messaggio di testo, apparentemente dalla mia banca. Diceva qualcosa come: “Urgente: attività sospetta rilevata sul tuo conto. Ti preghiamo di controllare le transazioni recenti a [link malevolo].” Ora, in genere sono abbastanza bravo a riconoscere il phishing. Il link sembrava sospetto, e non l’ho cliccato. Ma poi, circa 20 minuti dopo, il mio telefono ha squillato. Numero sconosciuto. Ho risposto, ed era una voce AI sorprendentemente convincente, calma e professionale, che si spacciava per il dipartimento antifrode della mia banca, riferendosi esattamente all'”attività sospetta” del messaggio.

Mi ha chiesto di confermare la mia identità, non fornendo una password, ma “verificando un codice inviato al mio telefono.” Ho ricevuto un SMS autentico dalla mia banca con un codice MFA legittimo, proprio come se mi stessi collegando. Il bot al telefono mi ha quindi chiesto di leggere quel codice. A quel punto, ho capito. Non era solo un tentativo di phishing. Era un attacco coordinato. Il bot aveva avviato un tentativo di accesso al mio conto, attivato il MFA, e ora stava cercando di manipolarmi socialmente affinché fornissi il codice. Se avessi letto quel codice ad alta voce, sarebbero entrati. Era terribilmente efficace.

Non era il lavoro di un script kiddie. Era un’operazione sofisticata, probabilmente gestita da una fattoria di bot, in grado di avviare tentativi di accesso, inviare SMS mirati, e poi eseguire un bot vocale alimentato da AI per estrarre il MFA. Questo ha eluso tutte le mie protezioni tecniche perché sfruttava la mia fiducia e il mio senso di urgenza.

Come i bot sociali eludono il MFA

Analizziamo alcuni dei vettori che ho osservato:

1. Phishing MFA con una sfumatura diversa

È ciò che mi è successo. I bot avviano una vera connessione, attivando una richiesta di MFA legittima (SMS, notifica push, richiesta TOTP). Contemporaneamente, il bot contatta l’utente tramite un altro canale (SMS, email, chiamata vocale) spacciandosi per un’entità fidata (banca, supporto IT, piattaforma di social media). Il bot persuade quindi l’utente a fornire il codice MFA, ad approvare la notifica push o persino a scansionare un codice QR malevolo.

# Pseudo-codice semplificato per un tentativo di phishing MFA pilotato da un bot
function bot_orchestrate_mfa_phishing(target_user_id, bank_url, phishing_sms_template, ai_voice_script):
 # Passo 1: Iniziare un tentativo di accesso sul servizio legittimo
 login_session = initiate_login(bank_url, target_user_id, known_password_or_stolen_credential)
 
 if login_session.requires_mfa():
 mfa_challenge_id = login_session.get_mfa_challenge_id()
 
 # Passo 2: Inviare un SMS di phishing mirato
 send_sms(target_user_id.phone_number, phishing_sms_template.format(bank_name="La Tua Banca"))
 
 # Passo 3: Iniziare una chiamata vocale AI
 ai_call_session = make_ai_voice_call(target_user_id.phone_number, ai_voice_script)
 
 # Passo 4: Durante la chiamata, se l'utente fornisce il codice MFA
 if ai_call_session.user_provides_mfa_code():
 mfa_code = ai_call_session.get_provided_mfa_code()
 
 # Passo 5: Completare l'accesso con il codice MFA rubato
 if login_session.verify_mfa(mfa_challenge_id, mfa_code):
 log_compromise_and_access_account(login_session)
 else:
 log_failed_mfa_attempt()
 else:
 log_user_did_not_provide_mfa()
 else:
 log_no_mfa_required()

Non si tratta più solo di una pagina di phishing statica. È dinamica, interattiva e sfrutta la fiducia esistente dell’utente nei suoi meccanismi MFA.

2. Usurpazione di identità del supporto tecnico e ingegneria sociale

I bot sono ora utilizzati per automatizzare chiamate o chat con i centri di assistenza. Il bot, spacciandosi per un utente legittimo, può affermare di aver perso il telefono, di aver dimenticato la password, o di essere bloccato fuori dal proprio conto. Avranno solo abbastanza informazioni personali (spesso derivate da violazioni di dati) per sembrare credibili. Il loro obiettivo? Convincere un agente umano del supporto tecnico a reimpostare il MFA, registrare un nuovo dispositivo, o concedere un accesso temporaneo. Ho visto rapporti di bot che generano anche “storie tristi” o esprimono “frustrazione” per suscitare simpatia da parte degli agenti.

# Script ipotetico di bot per l'ingegneria sociale al supporto tecnico (abbreviato)
def bot_helpdesk_interaction(target_user_info):
 dialogue_flow = [
 {"bot": "Ciao, sembra che non riesca ad accedere al mio conto, ID {user_id}. Il mio telefono è rotto, e non posso ricevere codici MFA."},
 {"human_agent": "Capisco. Puoi confermarmi alcuni dettagli?"},
 {"bot": "Certo. Il mio nome completo è {full_name} e la mia data di nascita è {dob}."},
 {"human_agent": "Va bene, questo corrisponde. Come desideri procedere?"},
 {"bot": "Potresti disattivare temporaneamente il MFA o inviare un nuovo link di registrazione al mio email di emergenza {backup_email}?"},
 # ... più dialoghi per persuadere l'agente ...
 ]
 
 for turn in dialogue_flow:
 if "bot" in turn:
 send_message_to_helpdesk(turn["bot"].format(**target_user_info))
 wait_for_response()
 elif "human_agent" in turn:
 # Questa parte comporterebbe il processamento del linguaggio naturale per comprendere la risposta dell'agente
 # e selezionare la prossima risposta appropriata del bot
 pass 

È particolarmente pericoloso poiché gli agenti di supporto tecnico sono addestrati per aiutare gli utenti, e diventa difficile distinguere un umano in difficoltà da un bot ben programmato, soprattutto quando il bot ha una buona storia e dettagli personali esatti (rubati).

3. Prendere il controllo del conto in modo automatico tramite flussi di “Reimpostazione password”

Benché non sia strettamente un bypass del MFA, spesso è un suo precursore. I bot sfruttano flussi di “password dimenticata” mal configurati. Se un sistema consente troppe tentativi di reimpostazione della password, o se le domande di sicurezza sono facilmente indovinabili (o che le risposte si trovano in violazioni di dati), i bot possono automatizzare questo processo. Una volta reimpostata la password, possono quindi accedere e affrontare la sfida MFA, momento in cui potrebbero passare a una delle tattiche di social bot-neering sopra descritte.

Difendere contro il Social Bot-neer

Allora, cosa facciamo? Non è solo un problema tecnico; è un problema umano, esacerbato dalla tecnologia.

1. Educare, Educare, Educare (i tuoi utenti E il tuo personale)

• Per gli utenti: Rafforzate il mantra “non condividere mai il proprio codice MFA”. Sottolineate che i servizi legittimi *mai* vi chiederanno di leggere un codice MFA al telefono o di digitarlo in un link che vi hanno inviato. Le notifiche push devono sempre essere verificate rispetto al tentativo di accesso legittimo che avete avviato. Fate loro capire chiaramente che se non hanno avviato una connessione, devono rifiutare la richiesta.
• Per il personale del supporto tecnico: È fondamentale. Formali rigorosamente sulle tattiche di ingegneria sociale. Fornite protocolli chiari e non negoziabili per le reimpostazioni MFA o i cambiamenti di accesso all’account. Implementate un controllo a più livelli per queste azioni sensibili (ad esempio, richiamare un numero registrato, richiedere una verifica di persona per account ad alto valore). Sottolineate che un “disagio” o un'”emergenza” da parte di un utente non deve mai sovrascrivere i protocolli di sicurezza.

2. Implementare una rilevazione bot più forte ai confini e nei flussi di autenticazione

• Analitica comportamentale: Cercate modelli insoliti. Un utente sta avviando una connessione da un nuovo indirizzo IP, subito seguito da una chiamata al supporto per richiedere una reimpostazione MFA? Ci sono più tentativi di connessione falliti seguiti da uno riuscito dopo un’interazione con il “supporto”?
• Limitazione della velocità e regolamentazione: Questo aiuta ancora. Limitate il numero di tentativi di accesso, reimpostazioni della password o sfide MFA che possono essere avviati da un’unica IP o per un singolo utente in un dato lasso di tempo.
• Impronta del dispositivo: Se viene tentata una connessione da un dispositivo non riconosciuto, anche se il MFA è fornito, ciò dovrebbe attivare un segnale d’allerta più significativo.
• Mekanismi di sfida-risposta: Oltre al CAPTCHA, considerate sfide bot più sofisticate prima ancora di permettere che venga effettuato un tentativo di connessione o di emettere una sfida MFA.

3. Modernizzare le opzioni MFA (ed eliminare quelle più deboli)

• Superare gli SMS OTP: Gli SMS sono notoriamente vulnerabili al cambio di SIM e all’intercettazione. Le notifiche push con informazioni contestuali (ad esempio, “Tentativo di accesso da New York, iPhone 15 Pro”) sono migliori, ma rimangono sensibili all’ingegneria sociale.
• Chiavi di sicurezza hardware (FIDO2/WebAuthn): Queste sono molto più resistenti al phishing e all’ingegneria sociale, in quanto la chiave verifica l’origine della richiesta di connessione in modo crittografico. L’utente non digita un codice; conferma semplicemente la propria presenza sul sito giusto. È la mia scelta personale per gli account critici.
• Biometria: Anche se non è una soluzione miracolosa, combinare la biometria con una solida autenticazione dei dispositivi aggiunge un ulteriore strato di frizione per gli attaccanti.

4. Politiche rigorose di recupero account

Rivalutate i vostri processi di recupero account. Le domande di sicurezza sono troppo facili? È troppo semplice per qualcuno provare la propria identità via telefono? Implementate un controllo in più fasi per il recupero degli account, richiedendo potenzialmente documenti, videochiamate o presenza fisica per gli account sensibili.

La strada da seguire

La corsa agli armamenti tra i professionisti della sicurezza e i bot malevoli si sta intensificando. Man mano che le nostre difese tecniche migliorano, gli attaccanti spostano semplicemente la loro attenzione sull’elemento umano, utilizzando bot sofisticati per amplificare i loro sforzi di ingegneria sociale. Non è più sufficiente bloccare gli IP o rilevare l’inserimento automatico. Dobbiamo pensare come gli attaccanti, comprendere le loro tattiche in evoluzione e costruire difese resilienti sia agli exploit tecnici che a quelli sociali.

Il mio consiglio? Supponete che i bot diventino più intelligenti. Supponete che siano in grado di sostenere conversazioni convincenti. E poi, costruite le vostre difese – sia tecnologiche che umane – con questa ipotesi in mente. State all’erta, state al sicuro!

Pat Reeves concluso.

🕒 Published: April 4, 2026