L'AiTM (Adversary-in-the-Middle) è l'evoluzione del phishing che aggira l'MFA debole – ed è il motivo per cui non ogni secondo fattore è uguale. Il meccanismo: l'attaccante non ti manda a una pagina di login finta, ma a un reverse proxy (Evilginx e simili) che sta in mezzo tra te e il sito vero. Tu inserisci username, password e il codice MFA – il proxy li inoltra al sito reale in tempo reale, il login riesce, e l'attaccante cattura il cookie di sessione già autenticato. Da quel momento entra come te, MFA superata, perché la sessione è valida.
È il motivo per cui i codici TOTP e gli SMS non bastano più: un proxy che sta in mezzo se li fa consegnare. Le difese che reggono:
- passkey/FIDO2/chiavi hardware – la firma è legata crittograficamente al dominio vero: su un proxy-esca con un dominio diverso, la firma semplicemente non parte. È phishing-resistant per costruzione, e la cura definitiva contro l'AiTM
- Continuous Access Evaluation e binding del token al dispositivo, per invalidare le sessioni rubate
- conditional access che nota il login da un contesto anomalo
È la ragione tecnica per cui "abbiamo l'MFA" non è più una risposta sufficiente: conta quale MFA. Le passkey spostano la difesa da "non farti ingannare" (che fallisce) a "l'inganno non funziona" (che regge).