La maggior parte di noi pensa a un furto di account come a qualcuno che indovina o ruba una password. Ma uno schema che sta emergendo in diversi incidenti recenti funziona in modo diverso: l'aggressore non tocca mai la password. Invece, ti induce a consegnare qualcosa che funziona come una copia della chiave di un account in cui sei già loggato — un dispositivo collegato, un token di autorizzazione, una sessione — e supera senza problemi le protezioni su cui normalmente faresti affidamento.

Due esempi rendono concreto il meccanismo. I ricercatori di sicurezza hanno recentemente descritto una truffa su WhatsApp che si diffonde da account già compromessi, in cui un messaggio ti chiede di "votare" per un amico in un concorso. Ti indirizza verso una pagina che imita la configurazione dei "dispositivi collegati" di WhatsApp, oppure ti dice di digitare un codice nel tuo stesso menu dei dispositivi collegati. Completare quel percorso aggiunge il telefono dell'aggressore come secondo dispositivo, pienamente autorizzato, sul tuo account — con accesso completo in lettura e invio — senza che venga mai inserita una password. Poiché la password non è stata toccata, non ricevi alcuna email di reimpostazione della password né alcun avviso di accesso fallito. La sessione illegittima resta semplicemente lì, silenziosa, come una voce in più nell'elenco dei tuoi dispositivi.

Separatamente, Microsoft ha lanciato un allarme su una campagna che sfrutta i portali captive del Wi-Fi di hotel e conferenze — quella pagina "accetta i termini" che vedi quando ti connetti. Gli aggressori, posizionati lungo il percorso di rete, reindirizzano le vittime verso false pagine di login o falsi prompt del "codice dispositivo" che, una volta completati, cedono token di autorizzazione anziché password. L'effetto è lo stesso: una sessione che appare legittima al servizio, perché tecnicamente lo è — solo che ora appartiene a qualcun altro.

Perché le tue difese abituali se lo lasciano sfuggire

Un gestore di password protegge la password. L'autenticazione a due fattori protegge il momento in cui accedi. Nessuno dei due sorveglia ciò che accade dopo che una sessione o un dispositivo viene autorizzato, ed è esattamente la falla su cui questi attacchi sono costruiti. L'unico modo affidabile per individuare questa categoria di compromissione è controllare periodicamente, a mano, quali dispositivi e app hanno attualmente un accesso permanente ai tuoi account — non aspettare un avviso che questi attacchi sono progettati apposta per non far scattare.

L'audit delle sessioni da 15 minuti

Fallo per gli account che contano di più (email, WhatsApp/Telegram, banca, e tutto ciò che è legato alla tua identità o al tuo denaro), e imposta un promemoria ricorrente per ripeterlo. Dove i nomi dei menu cambiano nel tempo, cerca diciture come "dispositivi", "sessioni" o "app connesse":

  • WhatsApp: Impostazioni → Dispositivi collegati. Per qualsiasi cosa non riconosci, toccala e disconnettila immediatamente.
  • Google: myaccount.google.com/security → "I tuoi dispositivi" e, separatamente, "App e servizi di terze parti" (a volte indicato come "Accedi con Google"). Revoca l'accesso a tutto ciò che non usi attivamente.
  • Account Microsoft: account.microsoft.com/devices per l'elenco dei dispositivi; account.microsoft.com/activity per la cronologia degli accessi.
  • Apple ID: Impostazioni → [il tuo nome] su un iPhone/iPad, oppure Impostazioni di Sistema su un Mac, mostra ogni dispositivo connesso al tuo Apple ID.
  • Facebook/Instagram (Meta): Impostazioni → Centro Account → Password e sicurezza → Dove hai eseguito l'accesso.
  • App bancarie e finanziarie: la maggior parte ha una schermata "gestisci dispositivi" o "sessioni attive" nelle impostazioni di sicurezza, anche se la dicitura varia da istituto a istituto — controlla la tua ora, così sai dove trovarla prima che ti serva.

Mentre sei in questi menu, dai anche un'occhiata a qualsiasi elenco di "app connesse" o autorizzazioni OAuth — vecchie app ed estensioni del browser che hai autorizzato anni fa e poi dimenticato sono esattamente il tipo di accesso permanente che questa classe di attacco cerca di creare di nuovo.

Se trovi qualcosa che non riconosci

Rimuovi o disconnetti prima di tutto il dispositivo o l'app sconosciuti — non aspettare. Poi, anche se l'aggressore potrebbe non aver avuto bisogno della tua password, cambiala comunque come misura precauzionale aggiuntiva, e riattiva l'autenticazione a due fattori se è stata disattivata (alcuni furti di account la disattivano per rendere più facile rientrare). Controlla se l'aggressore ha impostato qualcosa per mantenere l'accesso nel tempo, come nuove regole di inoltro nella posta elettronica, nuovi numeri di telefono o email di recupero, o nuovi dispositivi aggiunti altrove — una sessione compromessa viene spesso usata per piantare un secondo punto d'appoggio prima che il primo venga scoperto. Infine, se l'account compromesso è uno di cui i contatti si fidano (come WhatsApp), avvisa le persone che i messaggi ricevuti da te nel recente passato — specialmente quelli che chiedono denaro, voti o codici — potrebbero non essere stati inviati da te.

Una trappola specifica per i viaggi, da segnalare

Se ti stai connettendo al Wi-Fi di un hotel, un aeroporto o una conferenza e la pagina del portale captive ti chiede di "accedere" a un account Microsoft, Google o simile, oppure ti mostra un codice dispositivo da inserire, sii sospettoso per default — il Wi-Fi legittimo di un hotel quasi mai ha bisogno che tu autentichi un account cloud personale per andare online. Chiudi il browser, connettiti invece tramite l'hotspot cellulare del tuo telefono o una VPN, e se proprio devi usare il Wi-Fi dell'hotel, evita del tutto di accedere a qualsiasi cosa sensibile mentre lo usi.

Un'altra chicca, se scrivi o pubblichi codice

La stessa logica "non è la tua password, è la tua sessione/token" si applica alle credenziali degli sviluppatori. Un recente incidente nella supply chain che ha coinvolto un pacchetto npm compromesso teneva specificamente d'occhio la rotazione delle credenziali e poteva attivarsi proprio in base a essa — il che significa che la prima mossa istintiva (ruotare i token) era, in quel caso, la mossa sbagliata da fare per prima. Se mai sospetti che una credenziale di build o CI sia stata esposta, controlla prima cosa ha effettivamente fatto il pacchetto compromesso, prima di ruotare qualsiasi cosa, invece di dare per scontato che la sola rotazione chiuda la falla.

Mettilo in calendario

Niente di tutto questo è una soluzione da fare una volta sola — è un'abitudine, allo stesso modo in cui controllare l'estratto conto bancario è un'abitudine. Scegli una data ricorrente (il primo del mese funziona bene) e ripercorri gli elenchi di dispositivi/sessioni indicati sopra. È un controllo di quindici minuti che intercetta esattamente il tipo di furto silenzioso e senza password che tutto il resto della tua configurazione di sicurezza è costruito per lasciarsi sfuggire.