Multifaktor-Authentifizierung wird zu einem Tischplatz für Cybersicherheit – Cyberversicherer benötigen es, Sicherheitsmanager von Unternehmen planen, mehr dafür auszugeben, und obwohl MFA Benutzer verärgern kann, erkennen die meisten , dass es hilft, ihre Konten zu schützen. Tatsächlich sagt Microsoft, dass die Zwei-Schritte-Verifizierungsmethode mehr als 99,9 % der Angriffsversuche blockieren kann, und Google stellt die Erfolgsrate auf 76 % bis 100 % fest.
Was gefällt also nicht?
Nun, wie bei den meisten Sicherheits-Gegenmaßnahmen finden Hacker zunehmend abweichende Wege, um MFA zu umgehen.
„Hacker werden sich immer anpassen, und ich bin noch nicht davon überzeugt, dass MFA – auch nicht langfristig – das Allheilmittel sein wird, das die meisten Menschen glauben, dass es sein wird“, sagt Roger Grimes, Cyberdefense-Analyst für KnowBe4, der Schulungen zum Sicherheitsbewusstsein anbietet. „MFA wird als diese sehr, sehr sichere Lösung verkauft, die die Hacking-Probleme aller beheben wird ... und es ist einfach nicht wahr.“
Um es deutlich zu machen, sagen Experten wie Grimes, dass MFA – das den Benutzernamen und das Passwort plus einen temporären Code oder Schlüssel erfordert, der an das Gerät eines Benutzers gesendet wird – immer noch eine der effektivsten Verifizierungsmethoden ist und Teil jeder Endpunktsicherheitsstrategie sein sollte. Und neuere Formen von MFA basierend auf einem Framework namens FIDO2 verwenden kryptographische Anmeldedaten, um das Risiko von Phishing, Passwortdiebstahl und Wiederholungsangriffen zu minimieren. Darüber hinaus ermöglicht das Framework die Verwendung von Innovationen wie Fingerabdrucklesern, Kameras und Sicherheitsschlüsseln als Teil des Prozesses.
Aber die meisten Organisationen verlassen sich immer noch auf ältere SMS-basierte Ansätze – wie im Kurznachrichtendienst oder SMS – und dies sind die Systeme, auf die Hacker mit zunehmendem Erfolg abzielen.
Sie tun dies auf verschiedene Weise, einschließlich: durch Social Engineering; indem sie Mängel in der Art und Weise nutzen, wie einmalige Codes an Benutzer gesendet werden; und indem sie ruhende Microsoft-Konten nutzen, um Zugang zu öffentlichen und privaten Netzwerken zu erhalten.
Wie MFA Social Engineering gelingen kann
Eine der häufigsten Taktiken ist als MFA-Fatigue-Anfall bekannt. Auch MFA-Bombing genannt, umfasst dieser Exploit einen Angreifer, der das Gerät eines Endbenutzers mit wiederholten Aufforderungen überflutet, um einen Anmeldeversuch zu genehmigen. Es funktioniert im Wesentlichen, indem es jemanden aus der Wache holt oder ihn dazu bringt, davon auszugehen, dass er eine Authentifizierungsanfrage genehmigen muss.
„Mitarbeiter müssen MFA-Authentifizierungsanfragen mit einem erhöhten Verdachtsniveau behandeln [als ob] jemand zur Haustür kommen und nach Kreditkarteninformationen fragen würde.“Chris Prewitt, CISO, Inversion6
Letzten September nutzte die berüchtigte Hackinggruppe Lapsus$ MFA-Bombing, um gegen die Mitfahr-App Uber zu verstoßen. Uber sagte, dass die Cyberkriminellen VPN - Zugangsdaten von einem externen Auftragnehmer erhalten haben, die sie wahrscheinlich im Dark Web kaufen, und dann wiederholt versucht haben, sich beim Uber-Konto des Benutzers anzumelden. Jedes Mal erhielt der Auftragnehmer eine Zwei-Faktor-Login-Genehmigungsanfrage, die den Zugriff zunächst blockierte. Letztendlich akzeptierte der Auftragnehmer jedoch eines und der Angreifer konnte sich anmelden, sagte Uber. Von dort hat der Angreifer auf andere Mitarbeiterkonten zugegriffen und einen erhöhten Zugriff auf mehrere Tools erhalten, darunter G-Suite und Slack.
Während der Angreifer Nachrichten auf dem unternehmensweiten Slack-Kanal posten konnte, sagte Uber, er glaube nicht, dass die Angreifer auf personenbezogene Kundendaten zugegriffen oder Änderungen am Quellcode vorgenommen haben.
In einer kürzlich durchgeführten Beyond Identity-Umfrage gaben 62 % der Benutzer an, dass sie einen MFA-Bombing erlitten hatten, und fast jeder von 10 hatte nie wieder Zugriff auf ein Konto, das nach diesen Angriffen gesperrt worden war. Der Bericht gab an, dass die fünf wichtigsten MFA-Kontotypen, die mit dieser Taktik getroffen wurden, Banking (62 %), Facebook (45 %), Instagram (39 %), Kryptowährung (36 %) und Twitter (34 %) waren.
3 Möglichkeiten, MFA-Fatigue-Attacken zu entschärfen
Um das Potenzial für einen erfolgreichen MFA-Angriff zu reduzieren, empfehlen Experten einige Schritte:
1. MFA-Parameter festlegen: BeyondTrust empfiehlt die Optimierung der Konfiguration Ihrer MFA-Authentifizierungsprozesse durch: Reduzierung des Zeitfensters zwischen Faktorauthentifizierungen; Begrenzung der Anzahl zulässiger erfolgloser Zugriffsversuche während eines bestimmten Zeitrahmens; Hinzufügen von Geolokalisierungs- oder biometrischen Anforderungen; Erhöhung der Anzahl der für den Zugriff erforderlichen Faktoren; und Kennzeichnung übermäßiger Anmeldeversuche für einen Sicherheitsanalysten. Andere Experten empfehlen, MFA-Anfrage-Push-Benachrichtigungen zu begrenzen oder zu deaktivieren.
2. Schulen Sie Ihre Mitarbeiter: Chris Prewitt, CISO von Inversion6, empfiehlt fortlaufende Schulungen für Ihre Mitarbeiter, um sicherzustellen, dass sie über die MFA-Müdigkeitsangriffsausnutzung Bescheid wissen – und was Sie dagegen tun können.
„Mitarbeiter müssen MFA-Authentifizierungsanfragen mit einem erhöhten Verdachtsniveau behandeln“, sagt er. „Wenn jemand zur Haustür kommen und nach Kreditkarteninformationen fragen würde, würden die meisten Leute es nicht geben. Aber online scheinen wir etwas offener dafür zu sein, auf Dinge zu klicken und Informationen zu teilen, die wir nicht teilen sollten, was sich ändern muss.“
3. Am wenigsten Privilegien durchsetzen: Ein weiterer Schritt besteht darin, die Zugriffsrechte für Einzelpersonen, Konten und Maschinen auf das zu beschränken, was von diesem Benutzer benötigt wird. Auf diese Weise haben MFA-Fatigue-Angriffe Schwierigkeiten, einen breiten Zugriff auf Konten oder Daten zu erhalten. Sie werden im Grunde in der Nähe ihrer Eintrittspunkte gestoppt.
MFA-Angriffe, die von SMS-Fehlern profitieren
Eine andere Möglichkeit, wie Hacker MFA umgehen können, ist die Überschneidung des SMS-Einmalcode-Ansatzes selbst.
„Keine Sicherheit ist die Antwort, wenn sie schlecht gemacht wird.“John Pescatore, Direktor für neue Sicherheitstrends, SANS Institute
Die meisten Experten sind sich einig, dass die Nutzung des zweiten Faktors von MFA auf SMS-Authentifizierung nicht so sicher ist, da Hacker ziemlich gut darin sind, Spoofing und Phishing zum Abfangen und Lesen von SMS-Nachrichten zu verwenden. Sie verwenden auch einen Social-Engineering-Betrug namens SIM-Swaping, bei dem sie persönliche Informationen über Sie erhalten, Ihren Mobilfunkanbieter kontaktieren, ihnen eine falsche Geschichte über ein verlorenes oder gestohlenes Telefon geben und sie darüber sprechen, dass sie Ihre alte Nummer auf ein neues Telefon portieren, das sie steuern. Wenn sie fertig sind, können sie SMS-Nachrichten abfangen, einschließlich MFA-Codes. Es gibt sogar eine Technik namens „SMS-Smishing“, bei der es sich um einen Phishing-Angriff handelt, der über Text gestartet wird.
Grimes bemerkt, dass einige MFA-Lösungen besser darin sind, Phishing- oder Smishing-Versuche zu bekämpfen, und sagt: „Jeder sollte Phishing-resistente MFA verwenden, wenn er kann, um wertvolle Daten und Systeme zu schützen.“ Aber er warnt: „Bestenfalls stoppt selbst eine gute MFA nur 30 % bis 50 % der heutigen Angriffe.“
Microsoft und andere Branchenführer fordern Unternehmen ihrerseits dazu auf, sich von der telefonbasierten MFA zu entfernen, die sie als „die am wenigsten sichere der heute verfügbaren MFA-Methoden“ bezeichnen, und stattdessen Sicherheitsschlüssel oder Authentifizierungsanwendungen zu verwenden. Microsoft kündigte sogar Pläne zur Verbesserung der Zwei-Faktor-Authentifizierung in Windows 11 an, indem es dem zweiten Faktorcode, der von seiner Microsoft Authenticator-App gesendet wird, eine Nummer hinzufügte. Die Funktion wird noch getestet. Twitter hat Personen, die seinen bezahlten Dienst Twitter Blue nicht abonnieren, ebenfalls darüber informiert , dass es nach dem keine SMS mit Login-Codes mehr senden wird20. März. Das Unternehmen ermutigte nicht zahlende Benutzer, kostenlose Authentifizierungsanwendungen oder Sicherheitsschlüsselmethoden zu verwenden.
„Ich denke, dies ist ein großartiger Schritt in die richtige Richtung“, sagt Prewitt. „SMS wird schon lange angegriffen.“
Verwenden Sie MFA, um MFA anzugreifen? Lernen Sie die ruhende Kontoübernahme kennen
Eine der Sneakier-Arten, wie Hacker MFA umgehen können, ist die Übernahme ruhender Microsoft-Konten. Mandiant, ein Cybersicherheitsunternehmen, sagt, dass es kürzlich einen Trend beobachtet hat, bei dem Hacker, einschließlich der russischen Spionagegruppe APT29, den Selbstregistrierungsprozess für MFA in Azure Active Directory und anderen Plattformen nutzen.
In einem Fall führte APT29 offenbar einen Passwort-Schätzangriff gegen eine Liste von Postfächern durch, die sie irgendwie erhalten hatten. Sie haben erfolgreich ein Passwort für ein Konto erraten, das eingerichtet, aber nie verwendet wurde. Da es ruhte, sagt Mandiant, Azure AD hat APT29 dazu veranlasst, sich bei MFA anzumelden, und nachdem dies passiert war, konnte die Hacking-Gruppe auf die VPN-Infrastruktur zugreifen, die Azure AD für die Authentifizierung und MFA verwendete.
Um solchen Exploits entgegenzuwirken, empfiehlt Mandiant sicherzustellen, dass alle aktiven Konten mindestens ein MFA-Gerät registriert haben und mit Ihrem Plattformanbieter zusammenarbeiten, um zusätzliche Überprüfungen zum MFA-Registrierungsprozess hinzuzufügen.
John Pescatore, Director of Emerging Security Trends für das SANS Institute, sagt, dass die meisten MFA-Bypass-Angriffe wie diese eines gemeinsam haben: Sie verlassen sich auf schlecht implementierte Prozesse und nicht auf direkte Kompromisse bei der MFA-Lösung.
„Keine Sicherheit ist die Antwort, wenn sie schlecht gemacht wird“, sagt er. „Aber starke Sicherheitskontrollen wie MFA, Privilegmanagement, Anwendungskontrolle und schnelles Patchen und Durchdringung durch qualifizierte Mitarbeiter haben es vielen Unternehmen ermöglicht, größere Schäden durch Cyberangriffe zu vermeiden, ohne das Geschäft zu beeinträchtigen.“
