Come funziona il furto del token di sessione

L'attacco segue una sequenza semplice:

• L'utente si autentica normalmente: l'utente effettua l'accesso con la propria password e completa la MFA. Il server crea un token di sessione e lo memorizza come cookie nel browser.

• L'infostealer estrae il cookie: il malware legge la memoria dei cookie del browser e copia il token di sessione insieme a tutti gli altri dati memorizzati.

• Il token viene venduto su un marketplace: il token rubato, insieme al resto del log, viene caricato su un marketplace criminale o su un canale Telegram.

• L'autore dell'attacco importa il token: l'autore dell'attacco, o l'acquirente, importa il cookie nel proprio browser. Il server riconosce il token di sessione valido e concede l'accesso, senza richiedere l'accesso.

Perché la sola MFA non è sufficiente

La MFA protegge il momento dell'autenticazione: verifica che la persona che effettua l'accesso controlli il dispositivo o l'app corretti. Ma una volta completata l'autenticazione, subentra il token di sessione. Se quel token viene rubato e importato altrove, il server non può distinguere tra l'utente legittimo e l'autore dell'attacco. Questo è il fulcro dell'attacco pass-the-cookie: la sessione è già stata autenticata, quindi la MFA non viene mai più attivata.

Questo è fondamentalmente diverso dal furto di credenziali in una violazione dei dati. Le password rubate possono essere bloccate dalla MFA. I token di sessione rubati aggirano la maggior parte dei metodi MFA, perché l'autenticazione è già avvenuta. È la sessione rubata che concede l'accesso, non la password. I metodi associati all'hardware come YubiKey possono resistere a questo se la sessione è associata al dispositivo, ma la maggior parte delle applicazioni non lo impone.

Cosa possono fare le organizzazioni

La difesa contro il dirottamento di sessione e gli attacchi pass-the-cookie richiede sessioni di breve durata, token associati al dispositivo ove possibile e criteri di accesso condizionale che convalidino l'integrità del dispositivo. Ma nessun controllo tecnico rileva tutto. L'ultimo livello critico è il monitoraggio: sapere quando le sessioni rubate dai tuoi sistemi vengono scambiate sui marketplace criminali, in modo da poterle revocare prima che vengano utilizzate.

Passguard monitora costantemente questi marketplace e avvisa il tuo team di sicurezza nel momento in cui appare una sessione rubata collegata alla tua organizzazione.