Як кіберзловмисники можуть обійти багатофакторну автентифікацію

Багатофакторна автентифікація (MFA) – це протокол автентифікації, який потребує від користувачів введення додаткових факторів для входу до свого облікового запису. До таких додаткових факторів відносяться

Щось, що ви знаєте: Це може включати пароль, PIN-код або відповідь на секретне запитання.

Щось, що у вас є: Це може бути мобільний телефон, апаратний токен, брелок, ключ безпеки тощо.

Щось, що стосується вас: Сюди входить біометрична інформація, така як відбитки пальців, розпізнавання обличчя, сканування сітківки ока або розпізнавання голосу.

Користувачі зобов’язані надати принаймні два з цих додаткових факторів для підтвердження своєї особи.

Як кіберзлочинці можуть обійти багатофакторну автентифікацію?

Хакери можуть обійти MFA, так само як і двофакторну автентифікацію, де є лише ім’я користувача та пароль. Нижче наведені деякі з найбільш поширених способів обходу MFA:

Соціальна інженерія

Методи соціальної інженерії, такі як фішинг, є поширеним способом отримання зловмисниками облікових даних. Наприклад, в деяких випадках зловмисники намагаються увійти до хмарного сервісу організації, який надсилає власнику облікового запису SMS-повідомлення з підтверджувальним кодом. Потім хакер надсилає електронного листа власнику облікового запису з проханням повідомити код верифікації. Звичайно, для того, щоб це спрацювало, зловмисник повинен переконати користувача, що він є довіреною особою. У деяких випадках хакер надсилає електронного листа співробітнику, який нічого не підозрює, щоб отримати основну особисту інформацію. Використовуючи цю інформацію, він може спробувати зателефонувати постачальнику послуг і пояснити, що його обліковий запис було заблоковано, і він хоче отримати допомогу у відновленні доступу до нього.

Фішинг згоди (Consent Phishing)

Ще одна техніка соціальної інженерії, яка стає популярною, відома як “consent phishing” (фішинг на основі згоди). Коли хакери відправляють користувачеві те, що виглядає як справжня сторінка для входу в систему OAuth. Після, зловмисник запитує необхідний йому рівень доступу, і якщо доступ надається, він може обійти перевірку MFA.

Перебір методом грубої сили

Однією з головних переваг багатофакторної автентифікації є те, що вона значно ускладнює підбір паролів до облікових записів. Але, хоч вона і ускладнює це завдання, але не робить його неможливим. Наприклад, хакери можуть шукати фотографії користувача в соціальних мережах, щоб обійти систему MFA, яка використовує розпізнавання обличчя. У деяких екстремальних випадках вони можуть спробувати знайти відбитки пальців користувача, посипавши гладку або непористу поверхню порошком для відбитків пальців, а потім сфотографувавши відбитки камерою з високою роздільною здатністю.

Використання згенерованих токенів

Багато онлайн-сервісів використовують програми автентифікації, такі як Microsoft Authenticator та Google Authenticator, для генерації тимчасових токенів, які можуть бути використані як фактор автентифікації. У деяких випадках ці сервіси зберігають список кодів автентифікації, які використовуються постачальником послуг у разі блокування облікового запису. Хакери можуть спробувати отримати цей список, використовуючи слабкі сторони захисту даних, щоб обійти MFA.

Перехоплення сеансу

При перехопленні сеансу зловмисник викрадає сесійні файли cookie, які містять облікові дані користувача для автентифікації. Сесійні файли cookie використовуються багатьма вебдодатками для забезпечення індивідуального перегляду вебсторінок і відстеження активності користувача. Ці сесійні файли cookie залишаються активними, поки користувач не вийде з системи, та іноді надсилаються на сервер через незахищене з’єднання. Хакери можуть легко виявити, що сесійні файли cookie незахищені, і викрасти ці файли за допомогою атаки типу ” man in the middle” (MITM – людина посередині). Отримавши доступ до сесійних файлів cookie, вони можуть обійти MFA.

Зламування SIM-карт

Кіберзлочинці можуть отримати доступ до вашого мобільного пристрою за допомогою одного з трьох методів: Злом SIM-картки, підміна SIM-картки та клонування SIM-картки, які більш детально описані нижче:

Злом SIM-карти: хакери надсилають на цільовий пристрій код, схожий на шпигунське програмне забезпечення, за допомогою SMS-повідомлення. Якщо користувач відкриє повідомлення, хакер зможе шпигувати за жертвою, таким чином потенційно отримавши доступ до її облікових даних.

Підміна SIM-карти: зловмисники зв’язується з оператором мобільного зв’язку і просить замінити SIM-карту. Оскільки нерідко користувачі просять нові SIM-карти, можливо, через те, що вони переходять на новий пристрій, постачальник послуг може виконати це прохання і надіслати їм нову картку. Як тільки хакер отримає нову SIM-карту, він може використовувати її для отримання доступу до вашого облікового запису, за умови, що обліковий запис використовує SMS-верифікацію як один з факторів MFA.

Клонування SIM-карти: хакери отримують доступ до вашого фізичного пристрою, витягують SIM-карту та копіюють дані SIM-карти на чисту картку використовуючи програмне забезпечення для копіювання смарт-карт. Потім хакер вставляє новостворену SIM-карту в свій телефон і отримує телефонні дзвінки та текстові повідомлення на цю SIM-карту, включаючи коди автентифікації MFA.

Як посилити багатофакторну автентифікацію

З огляду на те, що найпростіший спосіб обійти MFA – переконати користувачів передати облікові дані та/або персональні дані, вкрай важливо, щоб ваші співробітники були навчені виявляти атаки соціальної інженерії, такі як фішингові електронні листи, підозрілі телефонні дзвінки та SMS-повідомлення. Нижче наведено ще кілька порад щодо посилення MFA:

Підходьте до вибору методів автентифікації з розумом

Якщо ви хочете бути більш захищеними, можливо, краще взагалі відмовитися від автентифікації за допомогою SMS, оскільки SMS OTP легше скомпрометувати, ніж інші методи. Якщо ви все ж таки хочете використовувати SMS-верифікацію, подумайте про налаштування блокування SIM-карти, що означає, що для модифікації вашої SIM-карти потрібен PIN-код. Намагайтеся використовувати біометричну автентифікацію, коли це можливо. Адже мало хто з хакерів буде обтяжувати себе посипанням дверних ручок порошком для того, щоб отримати копію вашого відбитку пальця.

Використовуйте адаптивну багатофакторну автентифікацію

Розгляньте можливість використання адаптивної багатофакторної автентифікації (AMFA), яка є більш контекстним підходом до MFA. За допомогою AMFA кожен запит перевіряється шляхом вивчення геолокації користувача, репутації IP-адреси, пристрою та поведінки при вході в систему.

Використовуйте складні паролі, обмежуйте доступ та відстежуйте спроби входу в систему

Переконайтеся, що ваші користувачі використовують надійні та унікальні паролі. Паролі повинні бути або довгими алфавітно-цифровими рядками з символами верхнього та нижнього регістру, або складною для вгадування фразою. Завжди потрібно переконатися, що користувачам надано мінімум привілеїв, необхідних для виконання їхніх ролей. Таким чином, якщо зловмиснику все ж вдасться обійти MFA, він не зможе завдати великої шкоди. Переконайтеся, що у вас є засоби виявлення та реагування на аномальні спроби входу в систему. Деякі складні рішення для аудиту змін в режимі реального часу здатні виявляти і реагувати на події, які відповідають заздалегідь визначеним граничним умовам. Наприклад, якщо протягом певного періоду часу відбувається x спроб входу в систему, може бути виконаний спеціальний сценарій для відключення облікового запису користувача, вимкнення відповідного сервера та інших дій, які допоможуть локалізувати загрозу. Ці рішення також можуть працювати в хмарних середовищах.

Як використовувати Lepide для захисту привілейованих облікових записів

Привілейовані облікові записи вимагають більше рівнів захисту, ніж багатофакторна автентифікація. Необхідно постійно контролювати діяльність привілейованих облікових записів і відстежувати, коли змінюються права доступу до конфіденційних даних. Lepide може допомогти вам у цьому.

За допомогою Lepide ви можете ідентифікувати співробітників, які мають доступ до конфіденційних даних, і з’ясувати, звідки вони мають цей доступ, прямо чи опосередковано (наприклад, через групи вкладених облікових записів). Потім Lepide проаналізує поведінку цих користувачів, щоб визначити, чи потрібен їм такий рівень доступу. Якщо ні, то дозволи будуть вважатися надмірними.

Lepide також може помітити аномалії в поведінці цих користувачів, щоб ви могли швидко виявити і відреагувати на те, що може бути ознаками зловживання привілеями.

Якщо ви хочете дізнатися, як Lepide Data Security Platform може допомогти вам захистити ваші привілейовані облікові записи – заповніть коротку форму на нашому сайті та отримайте детальну консультацію від наших експертів. iIT Distribution – офіційний дистриб’ютор рішень Lepide в Україні. Ми надаємо повну підтримку з планування та реалізації проєктів по впровадженню рішень вендора та прагнемо забезпечувати наших клієнтів найкращими рішеннями для побудови безпечної ІТ-інфраструктури.