**ATTACCO PUSH BOMBING O MFA FATIGUE: IN COSA CONSISTONO LE CONTINUE RICHIESTE DI MODIFICA DELLA PASSWORD ID Apple**
“Tutti i miei dispositivi sono esplosi: il mio smartwatch, il notebook, lo Smartphone“, ha raccontato Patel a KrebsOnSecurity. “Si tratta della comparsa di notifiche di sistema per approvare un reset della password dell’account, ma non potevo fare null’altro con il mio telefono. Dovevo andare avanti e rifiutare più di 100 notifiche“.
Alcune persone, di fronte a un simile diluvio di notifiche, possono alla fine fare clic su “Consenti” ai continui promemoria di reset della password, solo per poter utilizzare di nuovo il device.
Patel ha raccontato che dopo aver negato tutti i promemoria di reset della password, ha ricevuto una chiamata sul suo iPhone. Il numero apparso sul display era proprio quello reale del supporto Apple: i malintenzionati stanno utilizzando la ben nota pratica che permette la falsificazione dell’ID del chiamante (CID spoofing).
L’obiettivo dei malfattori è quello di innescare l’invio di un codice di reset dell’ID Apple al dispositivo dell’utente sotto forma di messaggio di testo contenente password monouso. Se l’utente fornisce quel codice monouso, gli attaccanti possono reimpostare la password sull’account e bloccare l’utente. Possono anche cancellare a distanza tutto il contenuto dei dispositivi Apple dell’utente.
**LA CHIAVE DI RECUPERO APPLE NON PROTEGGE DA QUALUNQUE TENTATIVO DI ATTACCO**
La chiave di recupero è una caratteristica di Sicurezza, attivabile opzionalmente, che dovrebbe “aiutare a migliorare la sicurezza dell’account Apple ID“. È un codice di 28 caratteri generato casualmente: l’abilitazione della chiave di recupero dovrebbe disattivare il processo di recupero standard dell’account.
Attivare la chiave di recupero non è un processo semplice e se si dovesse perdere il codice, tutti i dispositivi collegati con l’Apple ID risulteranno inutilizzabili in modo permanente.
Il fatto è che anche attivando la chiave di recupero, la ricezione delle notifiche di sistema non si arresta e può proseguire su tutti i dispositivi collegati con l’ID Apple.
**QUAL È LA RADICE DEL PROBLEMA**
Visitando la pagina “Hai dimenticato la password” di Apple, la Mela richiede l’inserimento di un indirizzo email e che l’utente risolva un CAPTCHA.
Superato questo primo passaggio, la pagina mostra le ultime due cifre del numero di telefono associato all’account Apple. Specificando le cifre mancanti e inviando il modulo, si presenterà effettivamente la notifica di sistema per il reset della password, che l’utente abbia o meno abilitato una chiave di recupero Apple.
Come osserva anche Krebs, quale sistema di autenticazione ben progettato invierebbe decine di richieste di cambio password nel giro di pochi istanti quando l’utente non ha gestito neppure le prime? È verosimile ipotizzare un problema nei sistemi di Apple.
Per il momento, la società guidata da TIM Cook non ha ancora ufficialmente preso posizione a riguardo.
In conclusione, i recenti attacchi di phishing che coinvolgono le continue richieste di modifica della password ID Apple mettono in luce le vulnerabilità nella sicurezza del sistema di autenticazione della società. Gli utenti sono invitati a prestare massima attenzione e a non fornire informazioni sensibili a presunti operatori del supporto Apple, al fine di evitare di cadere vittime di queste truffe informatiche sempre più sofisticate.