Che cos'è un fattore di possesso mobile e come può sostituire le password per fermare il phishing?

Quando 50% delle violazioni della cybersecurity derivano da credenziali rubate, c'è qualcosa che non va. La soluzione è eliminare completamente le credenziali condivise dall'equazione, utilizzando invece un'identità digitale mobile basata sul possesso.

Tutti noi utilizziamo la posta elettronica e le password, il che significa che siamo tutti vulnerabili agli attacchi di phishing.

La frequenza e i tassi di successo degli attacchi di phishing stanno aumentando vertiginosamente, poiché i criminali sono diventati più efficaci e le frodi sono state industrializzate con l'intelligenza artificiale. Il World Economic Forum ha previsto che perdite globali dovute alla criminalità informatica raggiungere l'incredibile cifra di $10,5 trilioni all'anno entro il 2025.

‍

Finora la risposta è stata quella di aggiungere ulteriori livelli di sicurezza alle e-mail e alle password di accesso: moduli Captcha, codici SMS, e-mail di conferma.

Questi approcci standard di autenticazione a più fattori (MFA) sono dei cerotti che non risolvono il problema principale. Si affidano ancora a credenziali condivisibili come password e codici OTP e restano vulnerabili al phishing perché si basano solo sulla conoscenza.

Finché le credenziali possono essere condivise, possono essere intercettate e utilizzate in modo improprio. Le credenziali rubate sono ancora il più comune vettore di attacco che porta alle violazioni dei dati.

È necessario passare dalle credenziali basate sulla conoscenza alla sicurezza basata sul possesso, che non si basa su informazioni che possono essere duplicate, come password o codici. Questo può aggiungersi ad altri sistemi di sicurezza forti come la biometria.

‍Ora, per la prima volta, la sicurezza del fattore di possesso incorporata nelle reti mobili viene resa disponibile tramite API, riducendo al minimo la possibilità di phishing e proteggendo i vostri utenti dagli attacchi.

Perché il phishing è ancora un problema in crescita?

Il phishing e altri tipi di social engineering si basano sul comportamento umano per violare i punti deboli di un'organizzazione. Sfruttano il comodo metodo basato sulla conoscenza di e-mail e password che la maggior parte di noi utilizza per accedere ai servizi online, inducendoci a condividere tali credenziali. E funziona: in 2022, 91% delle aziende britanniche intervistate ha dichiarato di aver subito almeno un attacco di phishing via e-mail.‍

I criminali utilizzano questi metodi perché sono a basso rischio, scalabili e completamente remoti. E ora stanno avendo sempre più successo. I criminali condividono le informazioni per diventare più bravi che mai a ingannare le persone e a scalare le loro operazioni: gli strumenti disponibili sul dark web possono aiutare gli aggressori ad automatizzare i cyberattacchi e a gestire un'operazione criminale come un'impresa su larga scala.

I costi (e i danni più ampi) derivanti da attacchi riusciti stanno diventando sempre più grandi e gravi. Il phishing è ancora la forma più comune di crimine informatico, con una stima di 3,4 miliardi di email di phishing inviate ogni giorno, e gli attacchi di phishing costo delle grandi organizzazioni quasi $15 milioni ogni anno.

I codici 2FA sono parte del problema

Le password sono un fattore di conoscenza che implica una credenziale condivisibile e quindi possono essere facilmente sottratte. Per questo motivo la maggior parte dei servizi richiede un ulteriore passaggio, l'autenticazione a secondo fattore (2FA).

Purtroppo, la maggior parte dei metodi 2FA prevede anche una credenziale condivisibile che può essere a sua volta oggetto di phishing: in genere si tratta di una one-time password (OTP) o di un codice PIN, inviati tramite SMS o e-mail.

Ancor peggio, i criminali si rivolgono specificamente a questi metodi: nel 2022, i ricercatori hanno scoperto che oltre 1.200 kit di phishing progettati per rubare i codici 2FA sono stati messi in funzione. Inoltre, anche se esiste un hardware specifico per l'MFA, il suo costo è proibitivo e non è di proprietà della gente comune.

La risposta, quindi, non può risiedere nell'aggiunta di ulteriori livelli di attrito che uccidono l'esperienza dell'utente senza tenere veramente lontani gli aggressori.

Una sicurezza più forte e senza soluzione di continuità può funzionare solo con un fattore di possesso ampiamente disponibile, facile da usare, facile da integrare e conveniente. Ora, per la prima volta, tutto questo è possibile, utilizzando le carte SIM già presenti in oltre 5 miliardi di telefoni cellulari in tutto il mondo.

Il nuovo fattore di possesso resistente al phishing

L'autenticazione SIM di nuova generazione di IDlayr è la nuova soluzione che il mondo della sicurezza stava aspettando. Le schede SIM sono la stessa tecnologia microchip altamente sicura e collaudata che è integrata in ogni carta di credito. In ogni telefono cellulare c'è una scheda SIM: tutti hanno già questo potente hardware in tasca.

L'utilizzo della sicurezza crittografica della carta SIM può fornire un'autenticazione forte e multicanale, facile da usare e da implementare. Ora, finalmente, esiste un modo semplice ed economico per smettere di affidarsi a credenziali condivisibili e rendere la verifica del fattore possesso disponibile per tutti.

Come funziona meglio l'autenticazione basata sulla SIM?

Quando utilizziamo il nostro cellulare (per navigare in Internet, effettuare una videochiamata o utilizzare i dati di un'applicazione) non abbiamo bisogno di digitare il nostro indirizzo e-mail e una password per accedere: l'operatore di rete mobile esegue un controllo crittografico della carta SIM, silenziosamente in background, per dimostrarne la validità. Da quel momento in poi, tutte le comunicazioni tra il dispositivo e la rete sono completamente crittografate.

Questa forte sicurezza crittografica è integrata nella scheda SIM di ogni telefono cellulare e avviene silenziosamente in background ogni volta che utilizziamo il nostro dispositivo mobile. Ma fino a poco tempo fa non era possibile per le aziende programmare l'infrastruttura di autenticazione di una rete mobile in un'app con la stessa facilità di qualsiasi altro codice.

Ora, per la prima volta, questa funzionalità di autenticazione è disponibile come API e può fornire istantaneamente un fattore di sicurezza di possesso per tutti gli utenti della vostra applicazione mobile esistente.

Registrazione sicura delle app, login, controlli step-up e altro ancora...

In passato, quando un nuovo utente si registrava alla vostra app, i dati di cui potevate fidarvi erano molto pochi. Ora, con l'autenticazione basata su SIM, è possibile utilizzare il numero di cellulare insieme a un controllo sicuro del possesso della carta SIM come credenziale forte e affidabile.

Lo stesso può essere applicato ai controlli step-up, quando un cliente sta per eseguire un'azione ad alto rischio (ad esempio, effettuare un pagamento o accedere a dati sensibili). Ora è possibile utilizzare un controllo SIM per verificare che l'utente sia ancora in possesso di una carta SIM valida prima di consentire la transazione. A differenza di altri sistemi MFA, il controllo avviene in modo silenzioso, senza la necessità di inserire ulteriori dati da parte del cliente, e può persino rilevare potenziali frodi di SIM swap.

Informazioni su IDlayr

IDlayr sta reinventando l'identità online per l'era mobile, aiutando banche e grandi imprese a ridurre le frodi, i costi operativi e a migliorare l'esperienza degli utenti. IDlayr consente di utilizzare il proprio numero di cellulare, anziché l'e-mail, per dimostrare la propria identità online; perché l'identità mobile è più sicura, più facile da usare e sempre con sé. 

Contattate programmare una demo con il nostro team.