Kan phishing meervoudige authenticatie omzeilen?

Ja, sommige soorten MFA zijn te omzeilen, en daarom doet het type ertoe. Bij een adversary-in-the-middle-aanval zit de phishingpagina tussen u en de echte inlogpagina: ze geeft uw wachtwoord en uw eenmalige code of pushgoedkeuring in realtime door aan de echte dienst en houdt de sessiecookie die de dienst terugstuurt. Met die cookie is de aanvaller ingelogd zonder uw wachtwoord of MFA opnieuw nodig te hebben. Sms-codes, codes uit authenticator-apps en eenvoudige pushgoedkeuringen zijn hier allemaal kwetsbaar voor. Phishingbestendige MFA, dus FIDO2-beveiligingssleutels en passkeys, is dat niet, omdat de sleutel het webadres controleert en een nepsite niet antwoordt. MFA van welke soort ook is nog altijd veel beter dan geen. Praktische stappen: geef eerst beheerders en financiën passkeys of beveiligingssleutels, schakel aanmeldbeleid in dat onbekende apparaten en locaties markeert, en trek na elk phishingincident sessies in, niet alleen wachtwoorden.

← Alle 29 vragen over Phishing en de nasleepAlle onderwerpen