Il phishing Adversary-in-the-middle (AiTM) è una tecnica in cui un aggressore fa da proxy per l'accesso di una vittima tra l'utente e il servizio reale. La pagina finta inoltra le credenziali al sito legittimo in tempo reale, quindi cattura il cookie di sessione o il token risultante. Ciò significa che l'aggressore può ottenere una sessione utilizzabile anche se la password viene cambiata in seguito.
Questo è importante perché gli account cloud moderni sono spesso protetti da MFA, ma l'AiTM può comunque aggirare MFA meno robuste rubando la sessione autenticata invece della sola password. In attacchi reali, la sessione rubata può essere usata per leggere la posta, cercare nelle directory o interrogare servizi come Microsoft Graph per individuare il personale legato a finanza o paghe. Le difese includono MFA resistente al phishing come FIDO2 o passkey, sessioni a breve durata, revoca rapida dei token, accesso condizionale e autorizzazioni least-privilege, in modo che un account dirottato non possa esporre più dati del necessario.