FBI waarschuwt dat social engineering-technieken kunnen helpen om multi-factor-authenticatie te omzeilen

Een tijdje geleden spraken we over hoe nuttig Two-Factor Authentication en Multi-Factor Authentication- systemen kunnen zijn en hoe ze gebruikers kunnen helpen hun accounts tegen hackers te beschermen. Na verloop van tijd hebben cybersecurity-specialisten echter bewezen dat geen enkel systeem onoverwinnelijk is en dat alle beveiligingsmaatregelen kunnen worden omzeild als aanvallers over middelen, middelen en vastberadenheid beschikken. Het laatste bewijs daarvan werd gepresenteerd in de FBI-aankondiging . Het bespreekt de waargenomen aanvallen van de FBI op Multi-Factor Authentication-systemen en waarschuwt om niet blindelings afhankelijk te zijn van extra beveiligingslagen. Betekent dit dat het gebruiken van Multi-Factor-authenticatie of het instellen van sterke wachtwoorden een verspilling van tijd is? U vindt de antwoorden op deze vragen verder in dit blogbericht. In de rest van dit artikel hebben we het ook over hoe hackers Multi-Factor-authenticatie omzeilen en hoe vaak dergelijke aanvallen plaatsvinden.

Hoe kunnen hackers Multi-Factor Authentication omzeilen?

Volgens de FBI-waarschuwing omzeilen hackers Multi-Factor Authentication met behulp van gemeenschappelijke social engineering-technieken en technische aanvallen. De aankondiging specifiek gewaarschuwd SIM-swapping en zwakke punten van websites die te behandelen Multi-Factor Authentication, en hacking-tools, zoals Muraen en NecroBrowser.

SIM-swapping die ook wel een port-out scam wordt genoemd, is een aanval waarbij fraudeurs een kwetsbaarheid aanpakken in een verificatiesysteem dat een beveiligingscode vereist die via een mobiele telefoon moet worden ontvangen. Om een dergelijke aanval uit te voeren, moeten cybercriminelen het telefoonnummer van een slachtoffer naar een apparaat van hen overdragen. De meeste telefoonbedrijven bieden dergelijke diensten aan gebruikers die hun simkaart kwijt zijn en hun oude telefoonnummer willen behouden. Om met succes SIM-swapping-aanvallen te kunnen uitvoeren, moeten hackers dus voldoende informatie over een slachtoffer vinden, zodat ze zich kunnen voordoen als zijn telefoonaanbieder om het benodigde telefoonnummer over te zetten naar een nieuwe SIM-kaart. Houd er rekening mee dat in het geval dat cybercriminelen slagen, de originele simkaart van de gebruiker moet worden geblokkeerd. Dus als u ooit merkt dat uw simkaart niet meer werkt, moet u zo snel mogelijk contact opnemen met uw telefoonmaatschappij en controleren of iemand uw simkaart mogelijk illegaal heeft verwisseld.

Vervolgens hebben we hacktools genaamd Muraen en NecroBrowser . Ze werden geïntroduceerd tijdens de Hack-in-the-Box- conferentie die plaatsvond in Amsterdam in juni 2019. De tools zijn gemaakt voor geautomatiseerde phishing-aanvallen die Two-Factor Authentication kunnen omzeilen. Tijdens deze programma's maken de genoemde tools een kopie van een website waarmee het beoogde account kan worden geopend. Het verschil tussen traditionele phishingwebsites en nepsites die zijn gemaakt met behulp van Muraen- en NecroBrowser-tools is dat de latere sites verificatiecodes kunnen aanvragen bij originele sites. Zo zou een gebruiker die probeert in te loggen via de nepwebsite een verificatiecode ontvangen van de legitieme site. Nadat een dergelijke code is ingevoerd, kunnen hackers deze niet alleen gebruiken om in te loggen op het beoogde account, maar ook sessiecookies of sessietokens verkrijgen die ze voor toekomstige aanmeldingen kunnen gebruiken.

Hoe vaak omzeilen hackers Multi-Factor Authentication?

Als u cybersecurity-nieuws volgt, is het u misschien opgevallen dat onderzoekers van tijd tot tijd nieuwe aanvallen op Multi-Factor Authentication-systemen melden. Je hebt misschien ook gelezen dat er geen statistische informatie is over dergelijke aanvallen omdat ze zelden voorkomen. Daar zijn een aantal redenen voor. Ten eerste zijn er, ondanks de aanbevelingen van cybersecurity-experts om Multi-factor Authentication te gebruiken, nog steeds veel gebruikers die de moeite niet nemen om dit in te schakelen. Dit betekent dat cybercriminelen geen accounts hoeven aan te vallen die worden beschermd met dergelijke beveiligingsmaatregelen, omdat er veel minder beschermde doelen zijn. Ten tweede is het hacken van een account met Multi-Factor Authentication niet zo eenvoudig als het hacken van een account dat alleen met een wachtwoord wordt beschermd. Dergelijke aanvallen vereisen meer tijd, geld en geavanceerdere hacktools. Met andere woorden, terwijl het aanvallen van een account van een bedrijf dat zwaar beschermd is misschien meer de moeite waard is, vinden veel hackers het gemakkelijker en winstgevender om op zwakkere doelen te jagen.

Is het nog steeds raadzaam om Multi-Factor Authentication te gebruiken?

Kortom, het antwoord is absoluut ja. Hoewel Multi-Factor Authentication soms niet in staat is om accounts te beschermen, is het toch uw beste kans om uzelf online te beschermen. Zoals eerder vermeld, komen dergelijke aanvallen zelden voor omdat veel cybercriminelen meer toegankelijke doelen kiezen. Natuurlijk, als meer gebruikers Multi-Factor Authentication gaan gebruiken, hebben hackers misschien geen andere keuze dan in de toekomst accounts aan te vallen die ermee zijn beschermd. Voorlopig kunnen de extra beveiligingslagen van Multi-Factor Authentication echter beschermen tegen traditionele phishing-aanvallen en andere aanvallen die alleen voor met een wachtwoord beveiligde accounts zijn ontworpen.

Is het gebruik van een sterk wachtwoord noodzakelijk als u Multi-Factor Authentication inschakelt?

Ten slotte kunt u zich afvragen of het zin heeft om een sterk wachtwoord te gebruiken als u Multi-Factor Authentication inschakelt. Nogmaals, het antwoord zou ja zijn. Als het gaat om het beschermen van persoonlijke informatie, uw bankrekening of andere gevoelige informatie die hackers op uw accounts kunnen vinden, moet u profiteren van alle beveiligingsmaatregelen die u kunt nemen. Bovendien zijn er nog steeds websites, platforms en applicaties die geen Multi-Factor Authentication bieden. In dergelijke gevallen kan de beveiliging van uw accounts afhangen van het wachtwoord dat u hebt ingesteld.

De eenvoudigste manier om sterke wachtwoorden te maken en ervoor te zorgen dat u ze nooit zult vergeten, is zonder twijfel een wachtwoordbeheerder. Om ervoor te zorgen dat uw inloggegevens ook worden beschermd, raden we aan een speciaal wachtwoordbeheer te gebruiken en geen geïntegreerde functies die bij browsers worden geleverd. Als u een tool wilt die de beveiliging kan garanderen en veel nuttige functies gratis biedt, raden we u aan Cyclonis Password Manager te proberen. Het werkt op alle belangrijke besturingssystemen. Het kan ook sterke toegangscodes genereren en deze voor u onthouden en u automatisch aanmelden bij uw accounts. Lees hier meer over alle functies die het kan bieden.

Al met al, zelfs als Multi-Factor Authentication kan worden omzeild, lijkt het nog steeds de beste manier om uw accounts te beschermen. Natuurlijk zijn er veel Multi-Factor Authentication-opties, en sommige zijn veiliger dan andere. Als u dus kunt kiezen, moet u alle beschikbare opties onderzoeken en de optie kiezen die als de sterkste wordt beschouwd. In plaats van blindelings afhankelijk van extra beveiligingslagen, moet u ook nooit uw wacht verliezen en opletten voor phishing-websites en ervoor zorgen dat hackers uw SIM-kaart niet gemakkelijk kunnen verwisselen. Bovendien doet het nooit pijn om op de hoogte te blijven van nieuws over cybersecurity en te leren hoe te voorkomen dat u het slachtoffer wordt van de nieuwste oplichting.