Negli ultimi anni ho imparato a guardare con sospetto tutto ciò che sembra troppo semplice, soprattutto quando si parla di autenticazione e sicurezza degli account. Il phishing è una minaccia costante, ma ciò che mi spaventa davvero non sono tanto i soliti link truffaldini con l’url sbagliato e la grafica raffazzonata, quanto gli attacchi più sofisticati, quelli in grado di bypassare l’autenticazione a più fattori, sfruttando il comportamento umano e la fiducia cieca che spesso riponiamo nei processi automatizzati. Evilginx2 è una delle tecniche che oggi rappresenta una delle minacce più concrete e subdole in questo senso. E non parliamo di teoria, ma di attacchi reali a danno di amministrazioni, aziende e utenti comuni. L’esempio raccontato da Simone Fratus, in cui viene compromesso un account Microsoft 365 protetto da MFA, è solo la punta dell’iceberg. Mi ha fatto riflettere su quanto ancora, nel 2025, la sicurezza sia legata più al livello di consapevolezza che non alla tecnologia.
Evilginx2 non è un semplice tool da script kiddie. È una piattaforma avanzata di phishing proxy sviluppata in Go da Kuba Gretzky e disponibile su GitHub. A differenza dei phishing tradizionali, che si limitano a raccogliere username e password, Evilginx agisce come un reverse proxy interattivo, posizionandosi tra la vittima e il sito legittimo (Microsoft, Google, Facebook o qualunque altro target) e catturando in tempo reale non solo le credenziali, ma anche i token di sessione emessi dopo l’autenticazione MFA. In pratica, l’utente inserisce le proprie credenziali, conferma il login con app di autenticazione o SMS, ma tutto il traffico passa attraverso Evilginx, che intercetta i cookie e può riutilizzarli per accedere alla sessione dell’utente senza più bisogno delle credenziali né del secondo fattore. Non è un furto di password, è una dirottazione completa della sessione. E la vittima non ha nessun segnale evidente di essere stata colpita: la navigazione avviene davvero sul sito originale, con certificati validi e flusso SSL funzionante. Questo rende il rilevamento particolarmente difficile anche da parte dei SOC e dei sistemi SIEM, a meno che non ci siano alert su comportamenti post-login anomali.
La potenza di Evilginx deriva in parte dal sistema modulare dei cosiddetti phishlet, dei file di configurazione scritti in YAML che definiscono come proxyare uno specifico sito web, quali intestazioni HTTP manipolare, quali cookie intercettare e come reindirizzare le richieste. Gli attaccanti possono scriverne di nuovi, adattarli rapidamente a modifiche del frontend e persino automatizzare la raccolta e la gestione dei token rubati. Alcuni phishlet, come quelli per Microsoft 365 o Okta, sono pubblici e facilmente reperibili in rete, ma le versioni più recenti e avanzate vengono spesso scambiate in circuiti chiusi, in forum privati o addirittura vendute come servizio. Questo crea un ecosistema dove l’attaccante non ha più bisogno di compromettere un endpoint o bypassare un EDR: gli basta convincere la vittima a cliccare su un link “pulito” con un certificato SSL valido, magari brandizzato con un dominio verosimile registrato da poche ore, ed eseguire l’operazione di login direttamente nel proxy.
La cosa più inquietante è che questi attacchi funzionano perfettamente anche contro utenti attenti e ben formati. Una campagna sofisticata, mirata a utenti della PA o a fornitori di servizi strategici, può tranquillamente passare i controlli ordinari, e il danno può estendersi ben oltre il singolo account. Pensiamo ai portali della pubblica amministrazione italiana, ai sistemi di protocollo, agli accessi tramite SPID o CIE, ai gestionali cloud adottati da regioni e comuni. Sono ambienti eterogenei, spesso gestiti da fornitori terzi, con livelli di logging e monitoraggio non omogenei. In molti casi, basta l’accesso a una sola casella PEC o al pannello di un dominio per compromettere flussi interi, accedere a dati riservati o innescare escalation silenziose. Lo so per esperienza personale: lavoro in un contesto dove ancora si dà per scontato che “se c’è l’MFA siamo al sicuro”, ma chi lavora in prima linea sa che non è così. L’attacco raccontato da Sophos, in cui Evilginx viene usato per rubare i token SSO di Microsoft 365 e poi usarli per accedere a SharePoint, Teams e OneDrive, dimostra quanto sia fragile il nostro affidamento cieco su soluzioni “enterprise” che promettono sicurezza ma non la garantiscono se manca una cultura reale della minaccia.
Quello che manca, spesso, è la percezione del rischio: si investe in firewall, in backup, in awareness training che si riduce a due slide e un quiz, ma poi si lasciano scoperti i dettagli. Si sottovaluta il social engineering, si ignora il traffico DNS sospetto, si permette il login da IP internazionali senza alert, si lascia attiva l’autenticazione legacy di Exchange Online o IMAP. Evilginx è solo uno strumento, ma in mano a un attaccante capace diventa un’arma chirurgica, che permette attacchi stealth, persistenti e difficili da contenere. L’accesso ottenuto può durare settimane se non mesi, specie se il token non ha una scadenza breve o se l’utente non fa logout manuale. E questo vale anche per gli ambienti con Conditional Access o Identity Protection: se il token è valido, il sistema presume che sia l’utente vero.
Non voglio fare terrorismo né invocare soluzioni magiche. Ma serve consapevolezza. Serve che i tecnici della PA, i CED dei piccoli comuni, i responsabili dei sistemi IT nei ministeri, capiscano che gli attacchi moderni non si vedono a occhio nudo. Che la sicurezza non è solo un antivirus aggiornato o un backup in cloud. Che serve logging dettagliato, anomaly detection, analisi forense post-incidente. Serve una mentalità da difesa in profondità. E serve un’alleanza reale tra chi lavora dentro e chi dall’esterno cerca di portare cultura, formazione, strumenti. Evilginx non è una novità del 2025: è una realtà silenziosa, efficiente, già ampiamente usata da chi vuole entrare nei nostri sistemi. E se non iniziamo a parlarne con urgenza, rischiamo di accorgercene solo quando sarà troppo tardi.
Commenti
Posta un commento