Una password specifica per applicazione è una credenziale creata per una determinata app o un determinato dispositivo, spesso per supportare software meno recente che non è in grado di completare il consueto processo di autenticazione a più fattori (MFA) dell’organizzazione. A seconda di come sono configurati l’account e il servizio, può consentire l’accesso senza la normale richiesta del secondo fattore. Ciò non significa che l’MFA sia stata violata: si tratta di un percorso di accesso separato che può indebolire le protezioni se non viene gestito.
Negli attacchi reali, una password specifica per applicazione rubata o esposta può consentire a un aggressore di accedere alla posta elettronica o a un altro servizio collegato, aggirando il flusso MFA standard. I difensori dovrebbero censire queste credenziali, limitarle alle app che ne hanno bisogno, revocare quelle inutilizzate e monitorarne la creazione e l’uso, laddove i log lo consentano. Una gestione rigorosa degli account e policy chiare aiutano a ridurre il rischio posto dagli accessi legacy.