Ani vícefaktorové přihlašování není bez rizika
Kyberzločinci na ně útočí MFA phishingem
Vícefaktorové ověřování (MFA) je silně doporučováno jako důležitý prvek ochrany před krádeží digitální identity. Jenže, jak dokazují poslední případy, ani vícefaktorové přihlašování není bez rizika. Jakkoli je MFA velice důležitým bezpečnostním prvkem sloužícím k ověření uživatelské identity, musí uživatelé stále dodržovat jistou míru obezřetnosti při jejím používání.
Zatímco amatérské kyberzločince může MFA odradit od běžných pokusů o prolomení uživatelských účtů, zkušenější útočníci je dokáží obejít pomocí několika taktik. Mezi nejpoužívanější patří:
- MFA phishing – hackeři mohou pomocí phishingových e-mailů oklamat uživatele, aby jim poskytli MFA ověřovací kód (T/OTP – Timebased/One-Time-Password).
- Man-in-the-Middle (MitM) – při tomto typu útoku hackeři zachycují komunikaci mezi uživatelem a systémem MFA.
- Malware – hackeři mohou pomocí malwaru ukrást přihlašovací údaje a MFA ze zařízení uživatele (T/OTP nebo „session cookies“).
- Klonování/výměna SIM – hackeři přesvědčí mobilního operátora uživatele, aby přenesl telefonní číslo uživatele na novou SIM kartu.
Útoky mnohdy kombinují více technik
V rámci phishingového útoku útočník odešle uživateli e-mail s falešným odkazem, který vypadá jako oficiální e-mail z dané služby. Oběť, která otevře falešný odkaz nebo přílohu v domnění, že přistupuje k legitimní službě (např. přihlášení do internetového bankovnictví – IB) je přesměrována na podvrženou stránku IB portálu, která je plně ovládána útočníkem. Ten získá přístup k veškeré datové komunikaci probíhající mezi uživatelem a zdánlivým IB portálem.
Po získání přihlašovacích údajů může útočník tyto údaje automaticky vyplnit do legitimní služby a nic netušícího uživatele nakonec do jím požadované služby přesměrovat. Pomocí této taktiky MitM a AitM (Adversary-in-the-Middle) může útočník získat přihlašovací údaje a relační cookies. „V případě krádeže ověřovacího kódu ze zařízení uživatele (např. v rámci MFA autentifikátoru nebo SMS generovaného T/OTP kódu) lze využít dalších sofistikovaných typů útoků, včetně zmanipulování uživatele k instalaci aplikace obsahující malware, případně zneužití existujících zranitelností zařízení,“ vysvětluje Petr Kocmich ze společnosti Soitron.
Úspěšné útoky na Microsoft 365
K těmto útokům běžně dochází řadu let. Jak dokazuje nedávná zpráva expertů na kybernetickou bezpečnost z Group-IB, stovky skupin útočníků aktuálně používají vysoce pokročilou phishingovou sadu, cílí na účty ke službám společnosti Microsoft a dosahují úspěchu. Hackerská skupina W3LL vyvinula phishingovou sadu, která dokáže obejít MFA a spolu s dalšími nástroji v poslední době kompromitovala více než 8 000 firemních účtů Microsoft 365. Firemní účty jsou pro útočníky obzvláště zajímavé, mohou totiž obsahovat obchodní tajemství.
Tento phishing kit je vyvíjen minimálně od roku 2017. Za tu dobu došlo k jeho zdokonalení, čímž stoupl v oblibě a v současnosti ho používá více než 500 hackerských organizaci. „Těm se podařilo vytvořit zhruba 850 phishingových kampaní, které se snažily ukrást přihlašovací údaje Microsoft 365 z více než 56 000 účtů,“ uvádí Petr Kocmich. Výsledkem jsou milionové finanční škody a obrovské množství ukradených dat z cloudových služeb a počítačů uživatelů.
Nejslabším článkem zůstává uživatel
Organizace by měly nechat zaměstnance vyškolit, aby identifikovali phishingové e-maily a další taktiky sociálního inženýrství a vyhýbali se jim. Měli by používat i pokročilá zabezpečení e-mailových služeb a ochrany koncových stanic (např. EDR). Koncové stanice a mobilní zařízení by měly být pravidelně aktualizovány a záplatovány. Kromě toho by organizace měly zvážit použití pokročilejších metod MFA, jako je biometrická autentizace případně MFA založeno na FIDO2 standardu.
„Je potřeba si uvědomit, že nejslabším článkem v řetězci obrany proti kybernetickým útokům jsou i nadále uživatelé. Tento rostoucí trend signalizuje kritickou potřebu implementovat pokročilé metody zabezpečení e-mailových služeb, koncových bodů a MFA řešení, které je odolné vůči phishingu,“ dodává Petr Kocmich.