Adversary-in-the-Middle (AiTM) è una tecnica di phishing in cui l'attaccante si pone tra la vittima e il servizio reale, inoltrando il traffico in tempo reale. L'utente raggiunge comunque una pagina di accesso legittima, ma l'attaccante può acquisire artefatti di autenticazione come cookie di sessione o token dopo il completamento della password e del passaggio MFA. Questo rende AiTM particolarmente pericoloso nei servizi cloud, dove una sessione rubata può essere riutilizzata per impersonare l'utente senza dover riutilizzare la password.
In pratica, i kit AiTM vengono spesso usati con false pagine di accesso che fungono da proxy per gli accessi a Microsoft 365 o ad altri servizi SaaS. L'obiettivo non è aggirare direttamente MFA, ma rubare la sessione fidata che questa crea. I difensori riducono il rischio con MFA resistenti al phishing come le chiavi di sicurezza FIDO2 o le passkey, solide policy di accesso condizionato, revoca della sessione e avvisi per comportamenti di accesso insoliti o pattern di reverse proxy.