Le banche che considerano l’MFA facoltativa lasciano ancora i clienti esposti alla compromissione degli account

Le istituzioni finanziarie continuano a consentire ad alcuni clienti di accedere senza autenticazione a più fattori, una lacuna che può facilitare la compromissione degli account da parte dei criminali, secondo un recente resoconto relativo al furto di fondi da conti pensionistici e bancari ai danni di una donna di 84 anni, i cui risparmi sono stati sottratti da più conti.

Nel caso descritto, i truffatori sembrano aver prima compromesso un conto di risparmio previdenziale, per poi passare ai conti correnti e di risparmio presso un’altra banca. Hanno inoltre ottenuto l’accesso a Gmail e creato filtri che spostavano gli avvisi relativi ai conti bancari e pensionistici nelle cartelle del cestino, riducendo la possibilità che gli avvertimenti venissero notati tempestivamente. Sebbene i fondi pensionistici sottratti siano stati successivamente recuperati, le perdite bancarie ammontavano a circa 30.000 dollari prima del rimborso.

Lacune di sicurezza e abitudini degli utenti

L’incidente sembra aver coinvolto il riutilizzo di password, o di password simili, su diversi servizi, oltre al fatto che l’MFA non fosse obbligatoria sugli account interessati. Gli esperti di sicurezza affermano che questo schema è ancora comune: se un servizio subisce una violazione, gli aggressori possono riutilizzare le credenziali altrove, una tecnica spesso chiamata credential stuffing.

Alcune banche, comprese grandi istituzioni nazionali, rendono ancora facoltativa l’MFA per molti clienti. In certi casi, le richieste di autenticazione a due fattori vengono attivate solo quando l’attività di accesso appare insolita. Anche la protezione degli account Google con metodi di accesso più robusti viene spesso lasciata all’iniziativa dell’utente.

Perché le banche esitano

Secondo gli osservatori del settore, le istituzioni valutano spesso la sicurezza in rapporto alla comodità. Ulteriori passaggi di accesso possono irritare i clienti, aumentare le richieste all’assistenza e potenzialmente influire sui tassi di acquisizione o fidelizzazione. Questa esitazione ha rallentato l’adozione su più ampia scala di metodi di autenticazione più sicuri.

Allo stesso tempo, le norme bancarie e le tutele per i consumatori non garantiscono un recupero semplice in caso di furto di denaro. Negli Stati Uniti si applicano termini per la contestazione e finestre temporali per le indagini, ma il rimborso non è automatico se una banca stabilisce che le transazioni sembravano legittime.

Esistono opzioni più sicure

Gli specialisti di sicurezza affermano che il metodo di autenticazione moderno migliore è rappresentato dalle passkey, che si basano su chiavi crittografiche memorizzate sul dispositivo dell’utente e sono progettate per resistere al phishing. I tradizionali codici monouso inviati tramite SMS o e-mail sono ancora ampiamente utilizzati, ma possono essere intercettati o estorti agli utenti con tecniche di ingegneria sociale.

• Il riutilizzo delle password resta un rischio importante per la compromissione degli account.
• I codici via SMS ed e-mail sono meglio dell’assenza di un secondo fattore, ma non sono la soluzione ideale.
• Le passkey sono sempre più considerate un’alternativa più sicura.
• Alcune grandi banche stanno iniziando a introdurre opzioni di accesso più robuste.

Il messaggio più ampio che emerge dall’incidente è semplice: quando le banche lasciano l’MFA facoltativa, trasferiscono una parte maggiore dell’onere sui clienti, anche se le conseguenze finanziarie di una violazione possono essere gravi.