Shares

În acest material discutăm despre autentificarea multifactor (MFA) și modul în care aceasta poate fi depășită, prin tehnici de inginerie socială combinate cu phishing.

Autentificarea multifactor (MFA) este, în prezent, una dintre cele mai recomandate măsuri de securitate cibernetică. MFA presupune folosirea a două sau mai multe metode de autentificare diferite pentru a proteja un cont. În cele mai multe cazuri, aceasta combină o parolă cu un cod temporar generat pe un dispozitiv deținut de utilizator sau o metodă biometrică.

Această abordare oferă un nivel de protecție mult superior autentificării bazate doar pe parolă. Riscul accesului neautorizat este redus semnificativ, deoarece compromiterea unui singur factor nu este suficientă pentru a pătrunde într-un cont protejat prin MFA.

Cu toate acestea, există scenarii în care această măsură, deși solidă, nu este suficientă pentru a opri atacatorii cu resurse și motivație.

Ocolirea MFA: un caz real

Un exemplu recent, relatat de BleepingComputer, evidențiază un astfel de scenariu. Gruparea de hackeri UNC4293 (cunoscută și sub numele de APT29) a reușit să compromită conturi Gmail protejate prin MFA, fără a depăși barierele tehnice ale autentificării. În schimb, a exploatat o funcționalitate legitimă oferită de Google: parolele pentru aplicații (app passwords).

Atacul a fost posibil printr-o combinație de phishing și inginerie socială (social engineering) — două metode frecvent folosite de atacatori pentru a manipula utilizatorii în a divulga informații sensibile. Mai exact, victimele au fost contactate prin e-mailuri atent construite, provenite de la identități aparent legitime, dar complet false. Aceste mesaje nu conțineau linkuri malițioase evidente, ci urmăreau stabilirea unei relații de încredere.

După o corespondență credibilă și coerentă, atacatorii le-au cerut victimelor să genereze o parolă pentru aplicații, sub pretextul accesării unei platforme externe. Această parolă le-a permis accesul direct la conturile Gmail, ocolind complet protecția oferită de autentificarea multifactor.

Printre victime s-a numărat și Keir Giles, cercetător la Chatham House. Acesta a fost contactat de o presupusă reprezentantă a Departamentului de Stat al SUA. După câteva schimburi de mesaje, i s-a cerut să creeze o parolă pentru aplicații. În realitate, totul a fost un atac de tip social engineering, combinat cu o formă avansată de phishing contextual, în care mesajele par autentice și sunt adaptate la profilul țintei.

Acest caz demonstrează că, întotdeauna, vigilența umană rămâne esențială, indiferent de cât de sofisticate sunt măsurile tehnice de protecție.

Lecțiile care pot fi extrase

Acest tip de atac scoate în evidență un aspect esențial: securitatea nu trebuie să se bazeze exclusiv pe MFA. Chiar dacă această metodă oferă o protecție superioară față de autentificarea simplă, nu este imună la atacuri de tip social engineering. Mai ales atunci când sunt implicate funcții legitime ale platformei, precum parolele pentru aplicații, riscul crește considerabil.

În plus, atacatorii moderni nu mai folosesc tactici evidente sau rudimentare. În locul mesajelor pline de greșeli sau al linkurilor suspecte, aceștia se bazează pe mesaje personalizate, redactate impecabil, adaptate la contextul și profilul victimei. Atacurile sunt gândite pe termen lung și desfășurate cu răbdare, tocmai pentru a trece neobservate.

Ce este app password și la ce se folosește

Parola pentru aplicații, cunoscută și sub denumirea de app password, este o parolă specială generată de utilizator în cadrul contului său Google (sau al altor servicii similare) pentru a permite accesul aplicațiilor sau dispozitivelor care nu suportă autentificarea multifactor (MFA) standard.

De exemplu, anumite programe de e-mail, aplicații vechi sau dispozitive cu funcționalități limitate nu pot solicita coduri de verificare MFA. Pentru a rezolva această problemă, utilizatorul poate crea o parolă unică, generată automat, care ocolește autentificarea în doi pași și oferă acces direct contului pentru acea aplicație specifică.

Această parolă este unică, poate fi revocată oricând și este folosită exclusiv pentru a conecta o aplicație sau un dispozitiv specific, fără a afecta parola principală a contului.

Cu toate acestea, din cauza faptului că o astfel de parolă permite acces fără MFA, utilizarea ei ridică riscuri de securitate semnificative. Dacă un atacator obține o astfel de parolă (prin phishing sau social engineering), el poate accesa contul respectiv fără a mai avea nevoie de codurile suplimentare de autentificare multifactor, ceea ce face ca protecția MFA să fie practic ocolită.

Măsuri suplimentare de protecție

Pentru a contracara astfel de riscuri, experții în securitate recomandă:

  • Dezactivarea parolelor pentru aplicații în conturile Google sau alte platforme, dacă nu sunt absolut necesare;
  • Activarea programului Google Advanced Protection, care blochează accesul prin parole app-specific și solicită metode mai robuste de autentificare;
  • Instruirea utilizatorilor, mai ales în medii sensibile sau expuse, în recunoașterea atacurilor sofisticate de tip phishing;
  • Utilizarea cheilor de securitate fizice (security keys) sau a autentificării bazate pe passkey, acolo unde este posibil.

De asemenea, este important ca utilizatorii să trateze cu suspiciune orice solicitare de acces, coduri sau parole care vin prin e-mail, indiferent cât de convingătoare par. O simplă verificare suplimentară poate preveni compromiterea contului.

Concluzie

Autentificarea multifactor rămâne una dintre cele mai bune practici în domeniul securității cibernetice. Cu toate acestea, nu oferă o protecție absolută. Atacurile complexe, care combină metode tehnice cu manipularea psihologică, pot ocoli barierele MFA prin exploatarea funcțiilor secundare sau prin convingerea utilizatorului să colaboreze involuntar.

Securitatea eficientă presupune mai mult decât un mecanism tehnic – este vorba despre un ecosistem format din măsuri tehnice, politici interne și, mai ales, educație continuă. Într-un peisaj digital tot mai agresiv, vigilența rămâne cea mai importantă linie de apărare.

Dacă aveți nevoie de ajutor pentru implementarea securității în companie, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.

Shares