Phishing on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Evilginx 3: AiTM Phishing and MFA Bypass for Red Teams

Fri, 19 Jun 2026 00:00:00 +0000

Multi-factor authentication doesn’t stop Adversary-in-the-Middle phishing. The technique doesn’t bypass MFA — it lets the victim complete it normally, then steals the session cookie Microsoft issues afterward. The attacker never touches the MFA step. They take what comes out of it.

Evilginx 3 is the open-source red team framework for demonstrating this attack class in authorized engagements. Written in Go by security researcher Kuba Gretzky, it runs a self-contained reverse proxy with its own HTTP and DNS server — no nginx dependency, no external daemons. This article covers the full red team workflow: infrastructure, installation, phishlet structure, session capture, and the detection indicators every blue team should know.

Phishing Attack Vectors: A Red Team Technical Breakdown

Fri, 19 Jun 2026 00:00:00 +0000

Phishing Attack Vectors: A Red Team Technical Breakdown #

Legal disclaimer: The techniques and tools described in this article are intended exclusively for authorized penetration testing engagements, security research, and educational purposes. Using these methods against systems or individuals without explicit written authorization is illegal under most jurisdictions, including Italy’s D.lgs. 231/2001 and the Computer Fraud and Abuse Act (US). HackITA assumes no responsibility for any misuse of the information provided. Always operate within the boundaries of a signed scope agreement.

Social Engineering: Cos'è, Attacchi Reali e Difese nel 2026

Sat, 28 Feb 2026 00:00:00 +0000

Executive Summary — Il social engineering è l’arte di manipolare le persone per ottenere informazioni, accesso o azioni che normalmente non concederebbero. Nel pentest, il social engineering è il vettore che bypassa ogni controllo tecnico: non importa quanto sia forte il firewall, se convinci un dipendente a darti le credenziali VPN al telefono. Il social engineering non è solo phishing (che è una sotto-categoria) — include vishing (telefono), pretexting (costruzione di identità false), impersonation (fingere di essere qualcuno), tailgating (accesso fisico), baiting (chiavette USB) e elicitation (estrazione di informazioni in conversazione). Questo articolo copre il framework psicologico, le tecniche operative e il workflow completo per un engagement di social engineering.

Phishing: Tecniche, Tipologie e Difese nel 2026

Fri, 27 Feb 2026 00:00:00 +0000

Phishing: Infrastruttura, Tool, Payload e Campagne Operative #

Executive Summary — Il phishing è il vettore di initial access più usato nel mondo reale — oltre l'80% dei breach inizia con un’email. Nel pentest, la campagna di phishing testa la resilienza umana dell’organizzazione: quanti utenti cliccano un link, quanti inseriscono credenziali, quanti aprono un allegato malevolo. Ma una campagna di phishing efficace richiede molto più del “mandare un’email con un link”: serve un’infrastruttura credibile (dominio, certificato TLS, SPF/DKIM/DMARC), template convincenti, payload che evadono i filtri email e una landing page che cattura credenziali o esegue codice. Questo articolo copre l’intero workflow — dalla preparazione del dominio alla post-exploitation.

Social-Engineer Toolkit (SET): Guida Completa per Attacchi Social Engineering

Wed, 25 Feb 2026 00:00:00 +0000

Il Social-Engineer Toolkit è il framework standard per automatizzare attacchi basati sul fattore umano. In questa guida impari a clonare siti per credential harvesting, generare payload malevoli, configurare campagne spear-phishing e integrare SET con Metasploit per exploitation completa. Tecniche reali da penetration test, pronte all’uso.

Installazione e Setup #

Su Kali Linux SET è preinstallato. Verifica e avvia:

bash

sudo setoolkit

Per installazione manuale: