AuthQuake! Un milione di tentativi in 3 minuti per Rompere la MFA di Microsoft

Redazione RHC : 12 Dicembre 2024 13:34

Microsoft ha risolto una vulnerabilità nel suo sistema di autenticazione a due fattori che consentiva agli aggressori di aggirare la sicurezza e ottenere l’accesso agli account delle vittime a loro insaputa. Il problema, chiamato AuthQuake, è stato identificato dagli specialisti di Oasis Security e risolto nell’ottobre 2024.

Il bypass è durato circa un’ora, non ha richiesto alcuna azione da parte dell’utente e non ha generato alcuna notifica di sistema, hanno riferito i ricercatori. La vulnerabilità era dovuta alla mancanza di un limite al numero di tentativi di immissione di un codice monouso e di una finestra temporale estesa per la sua verifica.

Microsoft utilizza codici a sei cifre generati dall’autenticatore validi per 30 secondi. Tuttavia, il codice è rimasto attivo fino a tre minuti grazie alla funzione di sincronizzazione dell’ora, che ha dato agli aggressori la possibilità di eseguire più tentativi di forza bruta.

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Il principale meccanismo di attacco consisteva nel provare tutte le possibili combinazioni di codici (fino a un milione di opzioni) in un breve periodo di tempo. Tuttavia, la vittima non ha ricevuto alcuna notifica relativa ai tentativi di accesso non riusciti.

Microsoft ha implementato limiti più severi al numero di tentativi di input per prevenire questo tipo di attacchi. Ora, dopo diversi tentativi falliti, l’attivazione del blocco può richiedere fino a mezza giornata. Gli esperti di Oasis osservano che non solo le restrizioni, ma anche le notifiche di attività sospette rimangono misure importanti.

AuthQuake ha ricordato che anche i sistemi di sicurezza più potenti richiedono test e ottimizzazioni regolari per contrastare le minacce moderne.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.