Microsoft: Не стоит использовать коды в SMS-сообщениях для MFA

Microsoft: Не стоит использовать коды в SMS-сообщениях для MFA

Microsoft: Не стоит использовать коды в SMS-сообщениях для MFA

Microsoft призывает пользователей отказаться от реализаций многофакторной аутентификации (MFA), в которых задействуются одноразовые коды, отправленные в СМС-сообщениях, или голосовые вызовы. Корпорация рекомендует использовать более современные средства для MFA: электронные ключи или аутентификаторы на основе приложений.

В частности, такой позиции придерживается Алекс Уайнерт, отвечающий в Microsoft за управление идентификацией и доступом. За последний год Уайнерт не раз призывал пользователей включить многофакторную аутентификацию для всех онлайн-аккаунтов, которые позволяют это.

Специалист ссылается на статистику Microsoft, согласно которой MFA блокирует около 99,9% автоматизированных кибератак на учётные записи в сервисах корпорации из Редмонда.

Тем не менее Уайнерт решил развить мысль и рассказать подробнее об использовании многофакторной аутентификации. По его словам, если у пользователя есть выбор, ему следует держаться подальше от MFA, основанной на СМС-сообщениях и звонках.

Основная проблема заключается в передаче пользователю кода в виде простого текста. Взяв на вооружение современные инструменты (например, SS7-прослушку), злоумышленники могут перехватить второй фактор для аутентификации.

Одноразовые пароли также можно выкрасть с помощью фишинговых наборов Modlishka, CredSniper и Evilginx. Кстати, исходный код этих инструментов доступен всем желающим.

Более того, сами сотрудники оператора сотовой связи могут стать жертвой киберпреступника. Та же атака «SIM swapping» поможет получить пароли для доступа к аккаунту жертвы.

Помимо этого, у операторов связи могут возникнуть и не связанные с атаками проблемы: простои, сбои в работе оборудования, смена требований регуляторов. Всё это может негативно сказаться на работе многофакторной аутентификации.

В целом, подводя итог, Алекс Уайнерт назвал голосовые вызовы и СМС-сообщения наименее безопасными из всех ныне существующих методов MFA.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники обновили схему кражи денег через «безопасный счёт»

Банк ВТБ предупреждает клиентов о новой схеме мошенничества, направленной на выманивание средств под предлогом перевода на «безопасный счёт». В обновлённом сценарии злоумышленники создают у жертвы ложное чувство безопасности, подчёркивая, что не требуют передачи никаких кодов из СМС.

Схема мошенничества состоит из трёх этапов:

На первом этапе мошенники целенаправленно запугивают потенциальную жертву, стараясь вызвать максимальное беспокойство или наоборот, действуют подчёркнуто агрессивно, чтобы исключить любые сомнения относительно серьёзности своих намерений. Они могут заставлять клиента ждать несколько минут на линии, после чего самостоятельно завершают разговор или дожидаются, пока клиент повесит трубку сам.

На втором этапе жертва получает сообщение или электронное письмо с информацией о якобы совершённой попытке входа в её личный кабинет государственного сервиса или онлайн-банка с неизвестного устройства. В этом сообщении предлагается срочно сменить пароль, перейдя по указанной ссылке, либо позвонить по телефону, похожему на официальный номер организации. Однако указанные ссылки являются фишинговыми, и при их использовании мошенники получают доступ к учётным данным жертвы.

На третьем этапе жертва сама обращается по указанному мошенниками номеру. В ходе разговора запугивание продолжается, а клиента убеждают перевести деньги на так называемый «безопасный счёт». Мошенники также могут оформить на жертву кредиты и вынудить передать деньги курьерам.

Кроме того, злоумышленники иногда предлагают установить на устройство жертвы специальное приложение под видом официального приложения Банка России. На самом деле это вредоносная программа NFCGate, которую «Лаборатория Касперского» включила в список наиболее опасных угроз для Android. С её помощью преступники создают виртуальную копию банковской карты жертвы и затем осуществляют покупки или полностью опустошают её банковский счёт.

Банк ВТБ напоминает, что единственным официальным номером банка является тот, который указан на банковской карте. Клиентов также призывают быть бдительными и не переходить по ссылкам из сообщений и писем от неизвестных отправителей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru