Zatímco amatérské kyberzločince může MFA odradit od běžných pokusů o prolomení uživatelských účtů, zkušenější útočníci je dokáží obejít pomocí několika taktik. Mezi nejpoužívanější patří:

• MFA phishing – hackeři mohou pomocí phishingových e-mailů oklamat uživatele, aby jim poskytli MFA ověřovací kód (T/OTP – Timebased/One-Time-Password).
• Man-in-the-Middle (MitM) – při tomto typu útoku hackeři zachycují komunikaci mezi uživatelem a systémem MFA.
• Malware – hackeři mohou pomocí malwaru ukrást přihlašovací údaje a MFA ze zařízení uživatele (T/OTP nebo „session cookies“).
• Klonování/výměna SIM – hackeři přesvědčí mobilního operátora uživatele, aby přenesl telefonní číslo uživatele na novou SIM kartu.

Útoky mnohdy kombinují více technik

V rámci phishingového útoku útočník odešle uživateli e-mail s faleš­ným odkazem, který vypadá jako oficiální e-mail z dané služby. Oběť, která otevře falešný odkaz nebo přílohu v domnění, že přistu­pu­je k legitimní službě (např. přihlášení do internetového bankovnic­tví – IB) je přesměrována na podvrženou stránku IB portálu, která je plně ovládána útočníkem. Ten získá přístup k veškeré datové komunikaci probíhající mezi uživatelem a zdánlivým IB portálem.

Po získání přihlašovacích údajů může útoč­ník tyto údaje automaticky vyplnit do legi­tim­ní služby a nic netušícího uživatele nako­nec do jím požadované služby přesměrovat. Pomocí této taktiky MitM a AitM (Adversary-in-the-Middle) může útočník získat přihlašovací údaje a relační cookies. „V případě krádeže ověřovacího kódu ze zařízení uživatele (např. v rámci MFA autentifikátoru nebo SMS generovaného T/OTP kódu) lze využít dalších sofistikovaných typů útoků, včetně zmanipulování uživatele k instalaci aplikace obsahující malware, případně zneužití existujících zranitelností zařízení,“ vysvětluje Petr Kocmich ze společnosti Soitron.

Úspěšné útoky na Microsoft 365

K těmto útokům běžně dochází řadu let. Jak dokazuje nedávná zpráva expertů na kybernetickou bezpečnost z Group-IB, stovky skupin útočníků aktuálně používají vysoce pokročilou phishingovou sadu, cílí na účty ke službám společnosti Microsoft a dosahují úspěchu. Hackerská skupina W3LL vyvinula phishingovou sadu, která dokáže obejít MFA a spolu s dalšími nástroji v poslední době kompromitovala více než 8 000 firemních účtů Microsoft 365. Firemní účty jsou pro útočníky obzvláště zajímavé, mohou totiž obsahovat obchodní tajemství.

Tento phishing kit je vyvíjen minimálně od roku 2017. Za tu dobu došlo k jeho zdokonalení, čímž stoupl v oblibě a v současnosti ho používá více než 500 hackerských organizaci. „Těm se podařilo vytvořit zhruba 850 phishingových kampaní, které se snažily ukrást přihlašovací údaje Microsoft 365 z více než 56 000 účtů,“ uvádí Petr Kocmich. Výsledkem jsou milionové finanční škody a obrovské množství ukradených dat z cloudových služeb a počítačů uživatelů.

Nejslabším článkem zůstává uživatel

Organizace by měly nechat zaměstnance vyškolit, aby identifikovali phishingové e-maily a další taktiky sociálního inženýrství a vyhýbali se jim. Měli by používat i pokročilá zabezpečení e-mailových služeb a ochrany koncových stanic (např. EDR). Koncové stanice a mobilní zařízení by měly být pravidelně aktualizovány a záplatovány. Kromě toho by organizace měly zvážit použití pokročilejších metod MFA, jako je biometrická autentizace případně MFA založeno na FIDO2 standardu.

„Je potřeba si uvědomit, že nejslabším článkem v řetězci obrany proti kybernetickým útokům jsou i nadále uživatelé. Tento rostoucí trend signalizuje kritickou potřebu implementovat pokročilé metody zabezpečení e-mailových služeb, koncových bodů a MFA řešení, které je odolné vůči phishingu,“ dodává Petr Kocmich.