Attacco Man-in-the-Middle:
cosa fa un’agenzia investigativa

01 Cos’è un attacco Man-in-the-Middle

Un attacco Man-in-the-Middle (MITM) è una tecnica di intrusione informatica in cui un soggetto terzo — l’attaccante — si posiziona silenziosamente tra due parti che credono di comunicare direttamente tra loro. In italiano lo si chiama anche attacco di interposizione, ma la sostanza non cambia: ogni messaggio, credenziale o dato sensibile che transita tra vittima A e vittima B passa prima per le mani dell’attaccante, che può leggerlo, modificarlo o bloccarlo.

L’elemento più insidioso di questo tipo di attacco è la sua invisibilità. A differenza di un ransomware che blocca i sistemi o di un virus che genera comportamenti anomali visibili, un MITM ben condotto non lascia tracce evidenti nell’esperienza utente: le email arrivano, i file si trasferiscono, i siti si caricano. La compromissione avviene in silenzio, spesso per settimane o mesi.

Dal punto di vista investigativo, questo rende il MITM uno degli attacchi più complessi da rilevare e documentare — ma anche uno dei più gravi per le conseguenze legali, patrimoniali e reputazionali che può comportare per un’azienda o un privato.

02 Come funziona tecnicamente

L’attaccante deve prima inserirsi nel canale di comunicazione. Questo avviene attraverso diverse tecniche, spesso combinate tra loro in un attacco più articolato. Nella fase di intercettazione vera e propria vengono poi sfruttate vulnerabilità nei protocolli o nella configurazione della rete per leggere, modificare o registrare i dati.

1. Posizionamento nella rete L’attaccante si colloca tra i due endpoint attraverso ARP spoofing, DNS poisoning o compromissione di un access point Wi-Fi. Questo gli permette di instradare il traffico attraverso il proprio dispositivo.
2. Intercettazione passiva Nella fase iniziale l’attaccante si limita ad ascoltare (sniffing). Raccoglie credenziali, token di sessione, dati aziendali — senza ancora modificare nulla, per non destare sospetti.
3. Manipolazione attiva Una volta acquisita la fiducia del sistema, l’attaccante può iniettare contenuti nelle comunicazioni: modificare importi in bonifici, alterare documenti trasmessi via email, reindirizzare a siti fraudolenti.
4. SSL Stripping o downgrade Anche le connessioni HTTPS possono essere colpite: l’attaccante degrada la comunicazione da cifrata a testo in chiaro, rendendo visibile ogni dato trasmesso senza che l’utente se ne accorga.

03 Le principali varianti di attacco MITM

Non tutti gli attacchi MITM sono uguali: variano per vettore, obiettivo e complessità tecnica. Conoscere le varianti è fondamentale sia per la prevenzione che per ricostruire l’incidente in sede investigativa.

04 Segnali che non puoi ignorare

La difficoltà nel rilevare un attacco MITM non significa che sia impossibile. Esistono indicatori comportamentali e tecnici che, letti nel loro insieme, possono far scattare un campanello d’allarme. Imprenditori, responsabili IT e professionisti dovrebbero monitorare attivamente questi segnali.

• Certificati SSL inattesi o non validi — il browser avvisa che il certificato HTTPS non corrisponde al dominio atteso.
• Rallentamenti anomali nella navigazione — il traffico che transita attraverso un proxy intermedio introduce latenza misurabile.
• Variazioni nelle coordinate bancarie — nelle email di fornitori o clienti arrivano dati diversi rispetto alle comunicazioni precedenti.
• Sessioni interrotte improvvisamente — disconnessioni ripetute da portali aziendali o gestionali possono indicare token di sessione manipolati.
• Email inviate da account legittimi con contenuto modificato — l’interlocutore giura di non aver scritto ciò che hai ricevuto.
• Presenza di reti Wi-Fi con SSID duplicati — due reti con lo stesso nome nello stesso edificio è quasi sempre un segnale di evil twin.
• Accessi da IP anomali nei log — accessi ai sistemi da geolocalizzazioni incoerenti con l’operatività aziendale.

05 Il ruolo dell’agenzia investigativa

Quando si sospetta — o si è già subìto — un attacco MITM, l’intervento di un’agenzia investigativa specializzata in cyber intelligence si affianca e integra quello del reparto IT o della società di cybersecurity. I due ruoli sono distinti ma complementari: il tecnico informatico ripristina la sicurezza del sistema, l’investigatore costruisce la catena di custodia probatoria necessaria per le azioni legali.

Cosa facciamo concretamente

1. Analisi preliminare dell’incidente Raccogliamo la documentazione iniziale — log di rete, intestazioni email, screenshot, estratti conto — e valutiamo se gli elementi raccolti indicano effettivamente un MITM o un vettore di attacco diverso.
2. Acquisizione forense delle prove digitali In conformità con quanto previsto dall’art. 247 c.p.p. e con i principi della digital forensics, raccogliamo copie forensi dei dispositivi coinvolti garantendo l’integrità della prova (hash MD5/SHA256, catena di custodia documentata).
3. Ricostruzione della timeline dell’attacco Incrociando log di sistema, metadati di rete e comunicazioni intercettate, ricostruiamo come e quando l’attaccante si è inserito nel canale, per quanto tempo è rimasto attivo e quali dati ha esfiltrato.
4. Identificazione del soggetto responsabile Attraverso tecniche di OSINT, analisi degli indirizzi IP coinvolti, correlazione con database internazionali di threat intelligence e — ove necessario — pedinamento o sorveglianza, cerchiamo di attribuire l’attacco a un soggetto specifico.
5. Produzione della relazione tecnica difensiva Redigiamo una relazione investigativa strutturata, depositabile in giudizio, che illustra la metodologia usata, le prove raccolte e le conclusioni — tutto in conformità con la normativa GDPR e con il Codice Privacy.

06 Prevenzione e contromisure pratiche

La prevenzione del MITM non richiede necessariamente competenze tecniche avanzate. Molte misure di base, se applicate con costanza, riducono drasticamente la superficie d’attacco per privati e piccole-medie imprese.

• VPN aziendale sempre attiva — cifratura del traffico end-to-end, anche su reti non fidate.
• Certificati TLS aggiornati e HSTS attivo — impedisce il downgrade SSL e avvisa l’utente in caso di certificati non validi.
• Autenticazione a due fattori (2FA) — anche se un attaccante intercetta le credenziali, non può completare l’accesso senza il secondo fattore.
• Verifica OOB (Out-of-Band) delle coordinate bancarie — prima di eseguire un bonifico, conferma sempre i dati del beneficiario per telefono su un numero verificato in precedenza.
• Segmentazione della rete LAN — riduce l’efficacia dell’ARP spoofing isolando i segmenti critici.
• Monitoraggio dei log e SIEM — la correlazione degli eventi di rete permette di rilevare comportamenti anomali in tempo reale.
• Formazione del personale — la maggior parte degli attacchi MITM ha successo grazie a comportamenti inconsapevoli degli utenti finali.

07 Aspetti legali in Italia

Un attacco MITM configura plurime fattispecie di reato ai sensi del Codice Penale italiano. La corretta qualificazione giuridica dipende dalle modalità dell’attacco e dall’obiettivo perseguito dall’agente.

• Art. 615-ter c.p. — Accesso abusivo a sistema informatico: punisce chiunque acceda abusivamente a un sistema informatico o telematico altrui, o vi si mantenga contro la volontà dell’avente diritto.
• Art. 617-quater c.p. — Intercettazione illecita di comunicazioni informatiche: sanziona l’intercettazione fraudolenta di comunicazioni relative a sistemi informatici o telematici.
• Art. 640-ter c.p. — Frode informatica: applicabile nei casi di MITM finalizzato alla modifica di transazioni economiche o all’alterazione di dati a scopo patrimoniale.
• Art. 491-bis c.p. — Falso informatico: rilevante quando l’attaccante altera documenti informatici trasmessi durante l’attacco.
• Regolamento GDPR (UE) 2016/679: se i dati personali intercettati appartengono a terzi, il responsabile del trattamento (azienda vittima) ha l’obbligo di notifica all’Autorità Garante entro 72 ore dalla scoperta della violazione.