Passkey usate come backdoor: iAuthFlow V2, il phishing che resiste al cambio password

Il panorama del phishing si arricchisce di un nuovo toolkit commerciale che punta a un obiettivo ambizioso: mantenere l'accesso a un account Gmail anche dopo che la vittima ha cambiato la password e revocato le sessioni attive. Il suo nome è iAuthFlow V2, ed è stato osservato per la prima volta su un forum cybercriminale in lingua russa. A descriverne il funzionamento è un'analisi di Abnormal Security, basata sui post e sulle dimostrazioni pubbliche del venditore, non sull'esecuzione diretta del malware.

Il toolkit viene venduto come phishing-as-a-service: il pacchetto base costa 10.000 dollari USA, con moduli aggiuntivi acquistabili separatamente. Un prezzo elevato che suggerisce attori motivati e dotati di risorse, e che spiega perché le informazioni pubbliche su iAuthFlow V2 siano ancora molto limitate. La caratteristica distintiva, emersa dall'analisi dei materiali diffusi dal venditore, è l'uso delle passkey per ottenere una persistenza che le contromisure standard anti-phishing non riescono a spezzare.

Il meccanismo: due browser e una passkey invisibile

Lo scenario ricostruito da Abnormal Security prende come esempio un account Gmail e si articola in una sequenza di passaggi che mescolano phishing tradizionale e un'infrastruttura a due ambienti.

La vittima viene attirata su una pagina web controllata dall'attaccante tramite un classico messaggio di phishing. Qui inserisce le proprie credenziali, convinta di accedere al servizio legittimo. Sul server dell'attaccante, però, è attivo un secondo ambiente browser, separato ma collegato alla pagina di phishing: è questo secondo browser a interagire realmente con Google, mentre la vittima interagisce solo con la pagina falsa.

Credenziali e risposte di autenticazione vengono inoltrate al secondo browser, che applica immediatamente un'impronta digitale al browser della vittima. Ogni input inserito dalla vittima viene registrato. A questo punto il toolkit aggiunge silenziosamente una passkey già predisposta e la inoltra al secondo ambiente. Google, attraverso la pagina di phishing iniziale, chiede alla vittima di completare l'autenticazione: se il phishing ha successo, la vittima autorizza senza saperlo anche la passkey controllata dall'attaccante. L'intera sequenza punta a far sì che l'utente, convinto di proteggere il proprio account, in realtà stia aggiungendo un metodo di accesso alternativo in mano all'aggressore.

Perché il reset della password non basta

Normalmente, dopo una compromissione da phishing, la procedura consigliata è cambiare la password e revocare le sessioni attive. Se l'attaccante dispone solo di cookie di sessione rubati, queste azioni sono sufficienti per interrompere l'accesso. Google precisa che il cambio password revoca le password delle app e i token OAuth con ambiti Gmail, ma alcuni dispositivi autorizzati e connessioni di terze parti possono restare collegati. La passkey, però, non viene toccata.

La passkey è una credenziale registrata sull'account, non un token derivato dalla password. Il cambio password non la rimuove. Se l'attaccante controlla la passkey malevola, può usarla in seguito per accedere scegliendo "prova un altro metodo" al login, senza conoscere la password e senza che la revoca delle sessioni abbia alcun effetto. L'accesso sopravvive al reset e alla revoca: è questa la caratteristica che rende iAuthFlow V2 qualitativamente più pericoloso dei kit di phishing tradizionali, anche in assenza di un punteggio CVSS.

Limiti dell'analisi e la nebbia informativa

L'analisi di Abnormal Security non si basa sull'esecuzione reale del malware. I ricercatori non hanno acquistato né eseguito iAuthFlow V2, ma hanno ricostruito il funzionamento a partire dai materiali pubblicati dal venditore sul forum. Questo impone cautela sulle conclusioni operative, ma il quadro tecnico descritto è coerente con le tecniche note di phishing con passkey.

Le informazioni pubbliche sul toolkit sono molto limitate, coerentemente con il prezzo elevato e la presunta operatività furtiva. Non risultano CVE associati né indicatori di compromissione specifici resi pubblici: Abnormal Security afferma di includere IOC e indicazioni di remediation nella propria analisi, ma i dettagli operativi non sono stati divulgati nel resoconto.

Il quadro è reso ancora più opaco dalla confusione dei modelli linguistici interrogati sull'argomento. Gemini descrive iAuthFlow V2 come un toolkit/framework commerciale di phishing-as-a-service venduto su forum underground, come Exploit forum, ma non menziona le passkey. Copilot fornisce una risposta ancora più confusa. Questo mostra che, al momento, le fonti affidabili sono poche e l'analisi dei ricercatori resta il riferimento principale.

I rischi per utenti e organizzazioni

La vittima di questo tipo di attacco non perde solo le credenziali: perde il controllo dei metodi di accesso alternativi. L'attaccante mantiene l'accesso all'account anche dopo che la vittima ha eseguito le procedure standard di rimedio. La passkey malevola rimane registrata sull'account e consente accessi futuri senza conoscere la password. Le conseguenze possibili sono la lettura continuativa della posta, il furto di dati e una compromissione prolungata dell'account, che può estendersi per settimane o mesi.

Per le organizzazioni, il rischio è ancora maggiore: chi si limita al reset della password e alla revoca delle sessioni potrebbe non espellere l'attaccante dall'account compromesso. In un contesto aziendale, un account Gmail o di altro servizio collegato a un dominio può diventare una porta persistente per l'esfiltrazione di informazioni o per attacchi successivi contro altri dipendenti.

Come difendersi: controllare le passkey e i metodi alternativi

La lezione principale dell'analisi di Abnormal Security è che le contromisure tradizionali non bastano più. Il solo cambio password e la revoca delle sessioni non interrompono un accesso basato su passkey malevola. Chi sospetta una compromissione o vuole mettere in sicurezza un account deve verificare e rimuovere eventuali passkey o credenziali registrate non riconosciute. Su Gmail e su altri servizi, la sezione dedicata alle passkey e ai metodi di accesso alternativi va controllata voce per voce.

È altrettanto importante controllare i dispositivi autorizzati e le connessioni di terze parti che potrebbero restare attive dopo il cambio password, poiché Google avverte che alcune di esse possono sopravvivere al reset. In generale, dopo un incidente di phishing, bisogna considerare ogni metodo di autenticazione registrato sull'account come potenzialmente compromesso e rimuovere tutto ciò che non è riconosciuto, prima di considerare l'account sicuro.

Il contesto più ampio, segnalato di recente, mostra che il phishing sta diventando più sofisticato e organizzato: FBI e Google hanno smantellato il servizio di phishing "Outsider Enterprise", oltre 500 organizzazioni sono state colpite in una campagna pluriennale, e Microsoft ha avvertito di una campagna sofisticata contro organizzazioni statunitensi. iAuthFlow V2 si inserisce in questa tendenza, portando le passkey da strumento di sicurezza a vettore di persistenza. La difesa, di conseguenza, deve aggiornarsi altrettanto rapidamente.