În acest material o să evidențiem cum reușesc atacatorii să ocolească măsurile antiphishing, păcălind în continuare utilizatorii, chiar dacă nivelul de securitate configurat este unul suficient de bun.
Deși tehnologiile precum FIDO2 și WebAuthn au fost concepute special pentru a elimina riscul phishing-ului, atacatorii continuă să găsească metode prin care să le ocolească.
Chiar și utilizatorii care folosesc autentificarea fără parolă sau chei hardware pot fi expuși dacă implementarea este incompletă sau compromisă prin inginerie socială și infrastructură avansată de atac. Acest articol explică principalele tactici folosite în prezent.
Downgrade MFA – Slăbirea protecției prin metode alternative
Când un cont oferă mai multe metode de autentificare, atacatorii pot forța utilizatorul să folosească o metodă mai slabă.
De exemplu, în loc să valideze identitatea printr-un passkey, victima este redirecționată către o metodă fallback, precum coduri OTP prin SMS sau e-mail. Aceste metode sunt mai ușor de interceptat și compromit întregul sistem, chiar dacă autentificarea „rezistentă la phishing” este disponibilă.
Phishing prin fluxul device-code
Dispozitivele care nu pot afișa un browser complet (precum televizoarele smart sau terminalele industriale) folosesc fluxuri speciale de autentificare, în care utilizatorul introduce un cod pe un site de încredere.
Atacatorii exploatează acest mecanism generând coduri proprii și convingând utilizatorii să le introducă, ceea ce le oferă acces direct, fără alerte MFA. Este o tehnică eficientă și greu de detectat.
Infrastructura Phishing-as-a-Service (PhaaS)
Servicii precum EvilProxy, Tycoon 2FA sau Mamba pun la dispoziția atacatorilor instrumente avansate care permit interceptarea sesiunilor de autentificare în timp real. Cu ajutorul unor servere proxy, victima accesează o pagină care arată identic cu cea reală, însă traficul este monitorizat și redirecționat prin sistemul atacatorului.
Tokenurile de autentificare sunt capturate și reutilizate fără a necesita parola sau intervenția utilizatorului.
Exploatarea mecanismelor cross-device
Unele implementări ale WebAuthn permit autentificarea cu ajutorul unui alt dispozitiv, prin scanarea unui cod QR sau conectare Bluetooth.
Atacatorii trimit coduri QR care, odată scanate, autorizează o sesiune de acces controlată de ei. Victima crede că își validează propria conexiune, dar de fapt permite autentificarea unui atacator.
Interceptarea token-urilor OAuth
În loc să atace parole, unii actori malițioși conving utilizatorii să acorde acces unor aplicații OAuth false. Astfel, obțin permisiuni pentru e-mail, fișiere sau calendar, fără ca utilizatorul să fie conștient că și-a compromis contul.
Acest tip de atac nu declanșează MFA și este greu de detectat fără monitorizare suplimentară.
De ce aceste metode încă funcționează
Există mai multe cauze:
- Majoritatea serviciilor acceptă metode alternative de autentificare.
- Fluxurile precum device-code sunt legitime și familiare pentru utilizatori.
- Sistemele FIDO2 sunt adesea configurate împreună cu metode mai slabe.
- Utilizatorii nu sunt instruiți să recunoască comportamentele suspecte.
- Serviciile PhaaS elimină nevoia de competențe tehnice, fiind ușor accesibile.
Ce înseamnă cu adevărat „rezistent la phishing”
Un sistem de autentificare poate fi considerat cu adevărat rezistent la phishing doar dacă:
- Nu permite metode alternative vulnerabile.
- Se bazează exclusiv pe passkey-uri sau chei hardware (FIDO2).
- Nu utilizează parole sau coduri OTP.
- Blochează autentificarea de pe dispozitive necunoscute.
- Monitorizează în timp real anomaliile și comportamentele suspecte.
Concluzii și recomandări
Pentru a proteja eficient conturile, este recomandat ca organizațiile și utilizatorii:
- Să elimine complet metodele MFA vulnerabile.
- Să implementeze FIDO2 și passkey-uri ca metodă unică de autentificare.
- Să evite fluxurile OAuth nesigure și aplicațiile necunoscute.
- Să instruiască utilizatorii în identificarea tentativelor de phishing.
- Să adopte o arhitectură de securitate bazată pe principiile Zero Trust.
Aceste măsuri nu elimină complet riscurile, dar pot reduce drastic eficiența atacurilor chiar și în fața tacticilor din ce în ce mai sofisticate.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
