iAuthFlow v2 è una campagna malevola che prende di mira i flussi di autenticazione moderni, incluse le passkey, attraverso tecniche di phishing e manipolazione del contesto di login. La notizia, rilanciata da testate specializzate e collegata ad analisi di sicurezza indipendenti, evidenzia un punto cruciale: anche i sistemi progettati per ridurre il rischio di furto password possono essere indeboliti se l’utente viene portato a interagire con un ambiente controllato dall’attaccante.
Le passkey restano una tecnologia più robusta rispetto alle password tradizionali, perché si basano su crittografia a chiave pubblica e riducono l’esposizione a credenziali riutilizzate o intercettate. Tuttavia, campagne come iAuthFlow v2 mostrano che gli attaccanti stanno adattando il social engineering ai nuovi modelli di autenticazione.
Il ruolo del phishing evoluto
Il punto centrale non è una compromissione diretta dello standard passkey, ma la capacità di costruire flussi credibili che imitano procedure legittime. L’utente può essere guidato verso pagine o sequenze che sembrano familiari, mentre l’attaccante tenta di raccogliere sessioni, token, informazioni sul dispositivo o altri elementi utili ad aggirare i controlli.
Questo approccio sposta l’attenzione dalla sola credenziale al contesto. Origine del dominio, integrità del browser, comportamento della sessione, reputazione dell’infrastruttura e segnali di rischio diventano elementi decisivi per capire se una richiesta di autenticazione è legittima.
Perché le passkey non bastano da sole
Le passkey offrono una protezione significativa contro molti attacchi basati su password, ma non eliminano la necessità di controlli multilivello. Se un utente viene convinto ad avviare un flusso da un link malevolo, o se il dispositivo è già compromesso, l’organizzazione deve poter rilevare anomalie prima che l’accesso venga consolidato.
Le difese più efficaci includono verifica del dominio, protezione del browser, rilevamento di reverse proxy e pagine di phishing, controlli sui token di sessione, monitoraggio dei dispositivi nuovi e regole adattive sul rischio. Anche la formazione degli utenti deve evolvere: non basta più dire di non inserire password, perché gli attacchi puntano a far approvare passaggi apparentemente legittimi.
Indicazioni operative
Le aziende dovrebbero adottare le passkey, ma accompagnarle con policy di accesso condizionale, logging dettagliato e strumenti anti-phishing capaci di analizzare l’intero percorso di autenticazione. È utile limitare l’uso di link diretti nei messaggi interni, promuovere accessi tramite portali noti e bloccare domini appena registrati o sospetti.
Per gli utenti, la raccomandazione principale è verificare sempre l’origine della richiesta di login, evitare link ricevuti da canali non attesi e segnalare procedure insolite, anche quando non viene richiesta una password. iAuthFlow v2 dimostra che l’autenticazione moderna migliora la sicurezza, ma non sostituisce il controllo del contesto e la capacità di risposta agli abusi.