Cyberataki nowej generacji omijają MFA – Cisco Talos ostrzega przed nowymi zagrożeniami

Coraz więcej cyberataków skutecznie omija uwierzytelnianie wieloskładnikowe (MFA). Cisco Talos radzi, jak firmy mogą się bronić przed nowymi technikami phishingu i przejmowania kont.

Wieloskładnikowe uwierzytelnianie (MFA) przez lata uchodziło za skuteczną ochronę przed phishingiem. Dziś cyberprzestępcy coraz częściej potrafią je obejść, wykorzystując zaawansowane techniki ataku. „Cyberprzestępcy coraz częściej potrafią ominąć mechanizmy MFA” – alarmuje Thorsten Rosendahl z Cisco Talos. Najnowszym trendem są ataki typu adversary-in-the-middle (AiTM), w których przestępca przechwytuje sesję logowania, nawet jeśli użytkownik potwierdzi MFA.

Przestępcy nie muszą już nawet tworzyć fałszywych stron logowania. Dzięki odwróconym serwerom proxy ofiara korzysta z prawdziwej usługi, nieświadomie przekazując dane i zatwierdzając dostęp atakującemu. Gdy pojawia się prośba o MFA, przestępca przechwytuje ciasteczko uwierzytelniające i uzyskuje pełen dostęp do konta. Gotowe narzędzia Phishing-as-a-Service, sprawiają, że nawet osoby bez zaawansowanej wiedzy mogą przeprowadzać takie ataki na dużą skalę.

Tradycyjne zabezpieczenia – filtry antyspamowe, szkolenia czy proste MFA oparte na haśle i powiadomieniu push – przestają wystarczać. Szczególnie groźne są przypadki, gdy po przejęciu konta przestępca dodaje własne urządzenie MFA, co często pozostaje niezauważone przez firmowe systemy bezpieczeństwa. Co więc robić?

Cisco Talos rekomenduje wdrożenie nowoczesnych, odpornych na phishing rozwiązań. Jednym z najbardziej obiecujących jest WebAuthn – bezhasłowa metoda uwierzytelniania oparta na kryptografii publicznej, która uniemożliwia przejęcie sesji przez fałszywe strony lub serwery proxy. Niestety, WebAuthn wciąż jest rzadko wdrażane w firmach.

Eksperci Cisco zalecają ponowną ocenę strategii MFA i inwestycje w trwałe metody uwierzytelniania, a także wdrożenie architektury Zero Trust i zaawansowanej analizy sieci. Więcej o najnowszych zagrożeniach i sposobach ochrony można znaleźć na blogu Cisco Talos.