Home › Blog › Attacco man in the middle: come funziona e come difendersi

Attacco man in the middle: come funziona e come difendersi

Un attacco man in the middle (MITM) avviene quando un malintenzionato si inserisce di nascosto tra due parti che comunicano, per esempio un dipendente e un sito web, e può leggere o modificare ciò che passa. Le due parti credono di parlarsi direttamente, mentre l'attaccante fa da ponte invisibile. Capire come funziona è il primo passo per riconoscerlo e ridurne il rischio con poche misure mirate.

Attacco man in the middle: come funziona?

Il principio è semplice: l'attaccante deve far passare il traffico della vittima dal proprio dispositivo. Una volta posizionato nel mezzo, può limitarsi ad ascoltare oppure intervenire sui dati. Quasi tutti gli scenari seguono tre fasi.

1. Intercettazione

In questa fase l'hacker si colloca sul percorso dei dati per poterli osservare, con tecniche di sniffing di rete. Per riuscirci può creare una rete Wi-Fi falsa, manipolare le tabelle di indirizzamento della rete locale o alterare le risposte DNS. Di solito serve essere sulla stessa rete della vittima, oppure controllare un punto intermedio come un router compromesso.

2. Decifrazione o aggiramento della protezione

Se il traffico è in chiaro, l'attaccante lo legge subito. Se è cifrato, deve aggirare la protezione: per esempio spingendo l'utente verso una versione non cifrata del sito, oppure presentando un certificato falso sperando che l'avviso del browser venga ignorato. Questa è la fase in cui contano di più le buone abitudini degli utenti e la configurazione dei sistemi.

3. Sfruttamento dei dati

Con la comunicazione sotto controllo, l'attaccante può rubare credenziali, copiare cookie di sessione, inserire contenuti dannosi in una pagina o modificare i dettagli di un'operazione, come un IBAN in una fattura. Il danno può emergere giorni dopo, quando nessuno collega più l'episodio all'intercettazione iniziale.

Le tecniche più comuni di intercettazione

Gli attacchi man in the middle non sono tutti uguali. Cambiano il punto d'ingresso e lo strumento, ma l'obiettivo resta mettersi in mezzo. Ecco le tecniche che si incontrano più spesso.

ARP spoofing

Nelle reti locali i dispositivi usano il protocollo ARP per associare gli indirizzi IP agli indirizzi fisici delle schede di rete. Un attaccante può inviare messaggi ARP falsi e farsi passare per il gateway, così il traffico della vittima transita da lui. È una tecnica tipica delle reti interne prive di controlli specifici.

DNS spoofing

Il DNS traduce i nomi dei siti in indirizzi IP. Se l'attaccante altera le risposte, l'utente digita l'indirizzo corretto ma atterra su una pagina clone che raccoglie le sue credenziali. Anche un router domestico o d'ufficio con impostazioni DNS modificate può produrre lo stesso effetto.

Evil twin e punti di accesso falsi

L'attaccante crea una rete Wi-Fi con un nome plausibile, simile a quello di un hotel o di uno spazio di lavoro, e aspetta che i dispositivi si colleghino. Chi si connette consegna il proprio traffico a una rete controllata da altri. Approfondiamo i rischi wireless in attacchi alle reti Wi-Fi: rischi e difese per le aziende.

SSL stripping e furto di sessione

Nello SSL stripping l'attaccante degrada la connessione da HTTPS a HTTP, in modo che l'utente navighi senza cifratura senza accorgersene. Il furto di sessione (session hijacking) punta invece al cookie che mantiene l'utente autenticato: se viene copiato, l'attaccante può entrare in un account senza conoscere la password.

Perché è un rischio concreto per le aziende

Per un'azienda milanese il rischio non riguarda solo l'ufficio. Basta pensare ai dipendenti che lavorano da hotel, stazioni, fiere o spazi condivisi, e alle reti ospiti collegate più di quanto dovrebbero a quella interna. Ogni connessione non controllata è un possibile punto di intercettazione.

Le conseguenze tipiche sono tre:

• furto di credenziali di posta, gestionali, portali bancari o VPN;
• frodi sui pagamenti, quando un messaggio o una fattura vengono modificati in transito;
• accesso iniziale alla rete, usato poi per movimenti laterali e attacchi più gravi, come descritto nelle fasi di un attacco informatico.

Un caso a parte sono gli accessi remoti. Se le credenziali VPN vengono intercettate o la VPN è configurata male, l'attaccante può presentarsi come utente legittimo. Ne parliamo in attacchi alle vulnerabilità delle VPN aziendali.

Come riconoscere un possibile MITM

Un buon attacco è silenzioso, ma qualche segnale c'è. Nessuno da solo è una prova, mentre più indizi insieme meritano un controllo.

• Avvisi del browser sul certificato non valido, scaduto o non corrispondente al sito: non vanno mai ignorati.
• Reti Wi-Fi duplicate o con nomi quasi identici a quelle conosciute.
• Disconnessioni improvvise e richieste di nuovo login su servizi già autenticati.
• Siti che passano a HTTP o che non mostrano più il lucchetto quando prima lo avevano.
• Rallentamenti anomali in rete locale, che possono indicare traffico instradato in modo insolito.

Per il team IT, la fonte più affidabile sono i log: tabelle ARP con indirizzi duplicati, risposte DNS inattese e nuovi dispositivi sulla rete sono indizi da non trascurare.

Come difendersi: le misure che contano

Non esiste una singola contromisura, ma un insieme di barriere che rende l'intercettazione difficile e poco redditizia. Quelle sotto sono le più efficaci in ambito aziendale.

Cifratura e configurazione corretta

• Usare HTTPS ovunque, anche per le applicazioni interne, con certificati validi e rinnovati in tempo.
• Attivare HSTS sui propri siti, così il browser rifiuta connessioni non cifrate.
• Valutare DNSSEC e resolver DNS affidabili per ridurre le manipolazioni delle risposte.
• Abilitare l'autenticazione a più fattori, preferibilmente resistente al phishing, per limitare il danno di una credenziale rubata.

Rete locale e Wi-Fi

• Separare la rete ospiti da quella aziendale e segmentare i sistemi critici.
• Usare WPA3 o WPA2 Enterprise con autenticazione 802.1X, al posto di una password condivisa da tutti.
• Attivare sugli switch funzioni come Dynamic ARP Inspection e port security, se supportate.
• Monitorare la presenza di access point non autorizzati.

Su una rete wireless poco protetta l'intercettazione del traffico diventa più semplice: per un quadro più ampio, leggi la guida sugli attacchi alle reti Wi-Fi aziendali.

Dispositivi e persone

• Imporre una VPN aziendale sulle reti non fidate e tenerla aggiornata.
• Mantenere sistemi e firmware sotto controllo: un buon patch management chiude le falle che facilitano l'intercettazione.
• Formare il personale a non ignorare gli avvisi sui certificati e a diffidare delle reti Wi-Fi pubbliche.

Un attacco man in the middle sfrutta spesso errori di configurazione più che vulnerabilità sofisticate. Per questo la prevenzione parte da un'ordinaria igiene di rete, applicata con costanza.

Verificare se la tua azienda è esposta

Molte aziende ritengono di essere protette perché usano HTTPS o una VPN, ma non lo verificano mai in pratica. Un test controllato mostra se la rete interna permette davvero l'ARP spoofing, se i servizi interni accettano connessioni non cifrate e se i certificati sono gestiti bene.

Un penetration test automatizzato come FRED aiuta a individuare questi punti deboli in modo ripetibile, senza aspettare un incidente. Il risultato utile è un elenco di priorità, ordinato per impatto, da trasformare in azioni concrete per il team IT. Se vuoi capire quali siano i prossimi passi, conviene partire da un perimetro chiaro: quali reti, quali servizi e quali utenti remoti includere nella verifica.

Conclusione

Un attacco man in the middle funziona perché sfrutta la fiducia: chi comunica non ha modo di accorgersi che qualcuno è nel mezzo. Cifratura corretta, reti segmentate, autenticazione forte e utenti consapevoli tolgono all'attaccante quasi tutte le opportunità. Se vuoi sapere quanto la tua rete sia davvero esposta, puoi approfondire gli strumenti e i servizi di Fred for Security e valutare con il nostro team una verifica adatta alla tua realtà.

Domande frequenti