O FBI adverte que as técnicas de engenharia social podem ajudar a ignorar a autenticação multifatorial

Há algum tempo, falamos sobre como os sistemas de autenticação de dois fatores e autenticação de fatores múltiplos podem ser úteis e como eles podem ajudar os usuários a proteger suas contas de hackers. No entanto, com o tempo, os especialistas em segurança cibernética provaram que nenhum sistema é invencível e que todas as medidas de segurança podem ser ignoradas se os invasores tiverem meios, fundos e determinação para fazê-lo. A prova mais recente disso foi apresentada no anúncio do FBI . Ele discute os ataques observados pelo FBI nos sistemas de autenticação multifatorial e alerta para não depender de camadas de segurança extras muito cegamente. Isso significa que usar a autenticação multifator ou configurar senhas fortes é uma perda de tempo? Você pode encontrar as respostas para essas perguntas mais adiante neste blog. Além disso, no restante deste artigo, falamos sobre como os hackers ignoram a autenticação multifator e com que frequência esses ataques acontecem.

Como os hackers podem ignorar a autenticação multifator?

De acordo com o aviso do FBI, os hackers ignoram a autenticação multifator com a ajuda de técnicas comuns de engenharia social e ataques técnicos. O anúncio alertou especificamente sobre a troca de SIM , fraquezas de sites que lidam com autenticação multifator e ferramentas de hackers , como Muraen e NecroBrowser .

A troca de SIM, também conhecida como golpe de saída de porta, é um ataque durante o qual os fraudadores visam uma vulnerabilidade em um sistema de verificação que requer um código de segurança, que deve ser recebido por um telefone celular. Para realizar esse ataque, os cibercriminosos precisam portar o número de telefone da vítima alvo para um dispositivo pertencente a eles. A maioria das empresas telefônicas fornece esses serviços a usuários que perdem seus cartões SIM e desejam manter seus números de telefone antigos. Assim, para realizar com êxito ataques de troca de SIM, os hackers precisam aprender informações suficientes sobre uma vítima-alvo para que possam se passar por ele e convencer seu provedor de telefone a transferir o número de telefone necessário para um novo cartão SIM. Lembre-se de que, no caso de criminosos cibernéticos, o cartão SIM original do usuário deverá ser bloqueado. Portanto, se você notar que seu cartão SIM não funciona mais, entre em contato com a companhia telefônica o mais rápido possível e verifique se alguém pode ter trocado ilegalmente seu cartão SIM.

Em seguida, temos as ferramentas de hackers chamadas Muraen e NecroBrowser . Eles foram introduzidos na conferência Hack-in-the-Box , realizada em Amsterdã, em junho de 2019. As ferramentas foram criadas para ataques de phishing automatizados que podem ignorar a autenticação de dois fatores. Durante eles, as ferramentas mencionadas criam uma cópia de um site através do qual a conta de destino pode ser acessada. A diferença entre sites tradicionais de phishing e sites falsos criados com a ajuda das ferramentas Muraen e NecroBrowser é que os últimos podem solicitar códigos de verificação dos sites originais. Assim, um usuário que tentasse acessar o site falso receberia um código de verificação do site legítimo. Depois que esse código é inserido, os hackers podem não apenas usá-lo para fazer login na conta de destino, mas também obter cookies de sessão ou tokens de sessão que eles podem usar para logins futuros.

Com que frequência os hackers ignoram a autenticação multifator?

Se você está acompanhando as notícias de segurança cibernética, pode ter notado que os pesquisadores relatam novos ataques aos sistemas de autenticação multifatorial de tempos em tempos. Você também pode ter lido que não há informações estatísticas sobre esses ataques, pois eles raramente acontecem. Existem algumas razões para isso. Em primeiro lugar, apesar das recomendações dos especialistas em segurança cibernética para usar a autenticação multifatorial, ainda há muitos usuários que não se preocupam em habilitá-la. Ou seja, os cibercriminosos não precisam atacar contas protegidas com medidas de segurança, pois existem muitos alvos menos protegidos. Em segundo lugar, invadir uma conta com autenticação multifator não é tão fácil quanto invadir uma conta protegida apenas por uma senha. Esses ataques exigem mais tempo, dinheiro e ferramentas de hacking mais avançadas. Em outras palavras, embora atacar a conta de uma empresa altamente protegida possa ser mais gratificante, muitos hackers acham mais fácil e lucrativo perseguir alvos mais fracos.

Ainda é aconselhável usar a autenticação multifator?

Em suma, a resposta é absolutamente sim. Embora a autenticação multifatorial às vezes não consiga proteger as contas, ainda é sua melhor chance de se proteger online. Como mencionado anteriormente, esses ataques raramente acontecem, pois muitos cibercriminosos escolhem alvos mais acessíveis. Naturalmente, se mais usuários começarem a usar a autenticação multifator, os hackers podem não ter outra opção a não ser atacar contas protegidas com ela no futuro. No entanto, por enquanto, as camadas extras de segurança da Autenticação Multifator podem proteger contra ataques de phishing tradicionais e outros ataques projetados apenas para contas protegidas por senha.

É necessário usar uma senha forte se você habilitar a autenticação multifator?

Por fim, você pode se perguntar se há algum motivo em usar uma senha forte se ativar a autenticação multifator. Mais uma vez, a resposta seria sim. Quando se trata de proteger informações pessoais, sua conta bancária ou qualquer outra coisa sensível que os hackers possam encontrar em suas contas, você deve aproveitar todas as medidas de segurança que puder empregar. Além disso, ainda existem sites, plataformas e aplicativos que não fornecem autenticação multifator. Nesses casos, a segurança de suas contas pode depender da senha que você configurou.

Sem dúvida, a maneira mais fácil de criar senhas fortes e garantir que você nunca as esqueça é empregar um gerenciador de senhas. Para garantir que suas credenciais de login também estejam protegidas, recomendamos o uso de um gerenciador de senhas dedicado e não de recursos integrados que acompanham os navegadores. Se você deseja uma ferramenta que garanta segurança e ofereça muitos recursos úteis gratuitamente, sugerimos experimentar o Cyclonis Password Manager . Funciona em todos os principais sistemas operacionais. Além disso, ele pode gerar senhas fortes e lembrá-las para você, além de fazer login automaticamente em suas contas. Para aprender sobre todos os recursos que ele pode oferecer, continue lendo aqui .

Em suma, mesmo que a autenticação multifatorial possa ser ignorada, ela ainda parece ser a melhor maneira de proteger as contas. Obviamente, existem muitas opções de autenticação multifator e algumas são mais seguras que outras. Portanto, se você puder escolher, pesquise todas as opções disponíveis e escolha a que for considerada a mais forte. Além disso, em vez de depender cegamente de camadas extras de segurança, você nunca deve perder a guarda e tomar cuidado com sites de phishing, além de garantir que os hackers não possam trocar facilmente seu cartão SIM. Além disso, nunca é demais ficar por dentro das notícias de segurança cibernética e aprender a evitar ser vítima dos golpes mais recentes.