Zatímco MFA může amatérské kyberzločince odradit od běžných pokusů o kompromitaci uživatelských účtů, zkušenější útočníci je dokáží obejít pomocí několika taktik.
Organizace by si toho měly být vědomy, aby zajistily nejúčinnější obranu proti útokům tohoto druhu. Mezi nejpoužívanější taktiky patří:
- Phishing – hackeři mohou pomocí phishingových e-mailů oklamat uživatele, aby jim poskytli MFA ověřovací kód (T/OTP – Timebased/One-Time-Password).
- Man-in-the-Middle (MitM) – při tomto typu útoku hackeři zachycují komunikaci mezi uživatelem a systémem MFA.
- Malware – hackeři mohou pomocí malwaru ukrást přihlašovací údaje a MFA ze zařízení uživatele (T/OTP nebo „session cookies“).
- Klonování/výměna SIM – hackeři přesvědčí mobilního operátora uživatele, aby přenesl telefonní číslo uživatele na novou SIM kartu.
V rámci phishingového útoku útočník odešle uživateli e-mail s falešným odkazem, který vypadá jako oficiální e-mail z dané služby.
Oběť, která otevře falešný odkaz nebo přílohu v domnění, že přistupuje k legitimní službě (např. přihlášení do internetového bankovnictví – IB) je přesměrována na podvrženou stránku IB portálu, která je plně ovládána útočníkem.
Ten získá přístup k veškeré datové komunikaci probíhající mezi uživatelem a zdánlivým IB portálem.
Po získání přihlašovacích údajů může útočník tyto údaje automaticky vyplnit do legitimní služby a nic netušícího uživatele nakonec do jím požadované služby přesměrovat.
Pomocí taktiky MitM a AitM (Adversary-in-the-Middle) tak může útočník získat přihlašovací údaje a relační cookies.
„V případě krádeže ověřovacího kódu ze zařízení uživatele, např. v rámci MFA autentifikátoru nebo SMS generovaného T/OTP kódu, lze využít dalších sofistikovaných typů útoků, včetně zmanipulování uživatele k instalaci aplikace obsahující malware, případně zneužití existujících zranitelností zařízení,“ vysvětluje Petr Kocmich, bezpečnostní manažer společnosti Soitron.
Ke zmíněným útokům už běžně dochází řadu let. Jak dokazuje nedávná zpráva expertů na kybernetickou bezpečnost z Group-IB, stovky skupin útočníků aktuálně používají vysoce pokročilou phishingovou sadu (soubor nástrojů a zdrojů, které pomáhají útočníkům provádět phishingové útoky), cílí na účty společnosti Microsoft a dosahují úspěchu.
Hackerská skupina W3LL vyvinula phishingovou sadu, která dokáže obejít MFA a spolu s dalšími nástroji v poslední době kompromitovala více než 8 000 firemních účtů využívající technologii Microsoft 365. Firemní účty jsou pro útočníky obzvláště zajímavé, mohou totiž obsahovat obchodní tajemství.
Tento phishing kit se vyvíjí minimálně od roku 2017. Za tu dobu došlo k jeho zdokonalení, čímž stoupl v oblibě a v současnosti ho používá více než 500 hackerských organizaci.
„Těm se podařilo vytvořit zhruba 850 phishingových kampaní, které se snažily ukrást přihlašovací údaje Microsoft 365 z více než 56 000 účtů,“ tvrdí Kocmich. Výsledkem jsou milionové finanční škody a obrovské množství ukradených dat z cloudových služeb a počítačů uživatelů.
Nejslabším článkem zůstává uživatel
Hackerské nástroje jsou v poslední době kyberzločineckými skupinami připravovány tak, aby je mohli použít útočníci všech úrovní technických dovedností.
Například W3LL má dokonce svůj vlastní obchod s aplikacemi, kde si útočníci mohou zakoupit různé typy nástrojů či modulů podle potřeb.
Celkem je k dispozici 12 000 položek. Společnost Group-IB uvádí, že mezi říjnem 2022 a červencem 2023 prodala W3LL více než 3 800 položek s odhadovaným obratem přesahujícím 500 000 USD.
Organizace by měly zaměstnance vyškolit, aby identifikovali phishingové e-maily a další taktiky sociálního inženýrství a vyhýbali se jim. Měli by také používat i pokročilá zabezpečení e-mailových služeb a ochrany koncových stanic (např. EDR).
Koncové stanice a mobilní zařízení by měly být pravidelně aktualizovány a záplatovány. Kromě toho by organizace měly zvážit použití pokročilejších metod MFA, jako je biometrická autentizace případně MFA založeno na FIDO2 standardu.
Komentáře