Czy phishing może obejść uwierzytelnianie wieloskładnikowe?

Tak, niektóre rodzaje MFA da się obejść i dlatego liczy się ich typ. W ataku adversary-in-the-middle strona phishingowa stoi między Tobą a prawdziwą stroną logowania: w czasie rzeczywistym przekazuje prawdziwej usłudze Twoje hasło i jednorazowy kod lub zatwierdzenie push, a potem zatrzymuje ciasteczko sesji, które usługa odsyła. Z tym ciasteczkiem napastnik jest zalogowany bez ponownego podawania hasła i MFA. Podatne są na to kody SMS, kody z aplikacji uwierzytelniającej i proste zatwierdzenia push. MFA odporne na phishing, czyli klucze bezpieczeństwa FIDO2 i passkeys, nie jest, bo klucz sprawdza adres strony i nie odpowie fałszywej witrynie. MFA jakiegokolwiek rodzaju jest i tak dużo lepsze niż brak MFA. Praktyczne kroki: najpierw daj passkeys lub klucze bezpieczeństwa administratorom i działowi finansów, włącz zasady logowania, które oznaczają nieznane urządzenia i lokalizacje, a po każdym incydencie phishingowym unieważniaj sesje, nie tylko hasła.

← Wszystkie pytania (29): Phishing i skutki ataków e-mailowychWszystkie tematy