קוראים כמוך עוזרים לתמוך ב-MUO. כאשר אתה מבצע רכישה באמצעות קישורים באתר שלנו, אנו עשויים להרוויח עמלת שותף.
אירועי גניבת אישורים מתגברים אילצו חברות ליישם אימות רב-גורמי (MFA) כדי להגן על עובדיהן מההשלכות החמורות של גניבת סיסמאות. אבל האקרים מבצעים כעת התקפות עייפות של MFA כדי לעקוף את שכבת ההגנה הנוספת הזו.
אז מהי עייפות MFA? כיצד פועלות ההתקפות הללו? ומה אתה יכול לעשות כדי להגן על עצמך?
מהי התקפת עייפות MFA?
התקפת עייפות MFA כרוכה בהפצצה בלתי פוסקת של בעל חשבון בהודעות דחיפה של MFA עד שהם מחליקים או נשחקים פסיכולוגית ומאשרים את בקשת הכניסה.
לאחר אישור בקשת MFA, האקרים יכולים לגשת לחשבון המשתמש ולהשתמש בו לרעה איך שהם רוצים.
המטרה העיקרית של מתקפה כזו היא לשלוח מטח אינסופי של הודעות דחיפה של MFA כדי לעורר תחושת עייפות לבעל החשבון.
בבוא העת, עייפות MFA זו גורמת לבעל החשבון לאשר את בקשת הכניסה בטעות או ביודעין כדי לעצור את הודעות הדחיפה של MFA.
כיצד פועלת התקפת עייפות MFA
עם יותר ויותר יישומים ושירותים אימוץ אימות רב-גורמי, אישור הודעות דחיפה של MFA יכול להפוך למשימה שגרתית כאשר בעלי חשבונות צריכים לאשר בקשות MFA מספר פעמים ביום. בסופו של דבר, אישור הודעות דחיפה של MFA מדי יום יכול לגרום לבעלי חשבונות להיות חסרי תשומת לב.
יתרה מכך, הפצצה מתמדת של הודעות MFA עלולה לשחוק את בעלי החשבונות, ולבקש מהם לאשר את בקשת הכניסה, פשוט כדי למנוע מההודעות לעצבן אותם.
מכיוון שבעלי חשבונות משתמשים לעתים קרובות באפליקציות אימות בטלפונים החכמים שלהם, האקרים יכולים למקד אותם 24/7 כדי לשחוק אותם.
מה קורה בהתקפת עייפות MFA?
הצעד הראשון של התקפות עייפות MFA הוא קבלת אישורי הכניסה של משתמש חשבון. יש הרבה טריקים נפוצים לפריצת סיסמאות, כולל התקפות דיוג, עכבישים והתקפות כוח גס.
ברגע שלתוקף יש אישורי כניסה של משתמש, הוא מפציץ אותם בהנחיות אימות מרובה גורמים.
התוקפים מקווים כי:
- המשתמש יאשר את ניסיון הכניסה בטעות.
- המשתמש ייכנע עקב לחץ פסיכולוגי שמפעיל זרם אינסופי של בקשות MFA.
התקפות עייפות של MFA יכולות להיות אוטומטיות בקלות. ובדרך כלל, הנדסה חברתית משולב עם התקפת עייפות MFA כדי להפוך את ההתקפה למצליחה.
לדוגמה, משתמש היעד מקבל הודעת דיוג המבקשת מהמשתמש לאשר את בקשת ה-MFA. דוא"ל דיוג יכול גם להודיע למטרה שהם עשויים לקבל מטח של בקשות MFA מרובות בימים הקרובים כאשר מערכת אבטחה חדשה מיושמת. הדוא"ל יכול לציין עוד כי בקשות MFA ייפסקו ברגע שבעל החשבון יאשר את ניסיון ההתחברות.
כיצד להגן מפני התקפת עייפות MFA
הנה כמה דרכים להישאר בטוחים מפני התקפי עייפות של MFA.
1. אפשר הקשר נוסף
הפעלת הקשר נוסף בבקשות MFA יכולה להציע אבטחה טובה יותר ולהגן עליך מפני התקפות עייפות של MFA.
הקשר נוסף בבקשת MFA עוזר לך להבין איזה חשבון הפעיל את הודעת ה-MFA, השעה ביום כאשר בוצע ניסיון ההתחברות, המכשיר ששימש לניסיון כניסה ומיקום המכשיר שבו היה ניסיון הכניסה עָשׂוּי.
אם אתה רואה בקשות MFA מרובות שהופעלו ממיקום או מכשיר לא מוכרים כשאתה לא מנסה להיכנס לחשבון, זה סימן ששחקן איום מנסה לשלוח לך דואר זבל. כדאי מיד לשנות את הסיסמה של אותו חשבון וליידע את מחלקת ה-IT שלך אם היא קשורה לרשת חברה.
לאפליקציות MFA רבות יש תכונה זו מופעלת כברירת מחדל. אם אפליקציית המאמת שלך לא מציגה הקשר נוסף, צלול להגדרות האפליקציה שלך כדי לבדוק אם יש לה אפשרות לאפשר הקשר נוסף.
2. אמצו אימות מבוסס סיכונים
שימוש באפליקציית אימות עם יכולת אימות מבוסס סיכונים יכול לסייע בהגנה מפני התקפות עייפות של MFA. אפליקציה כזו יכולה לזהות ולנתח אותות איום על סמך דפוסי תקיפה ידועים ולהתאים את דרישות האבטחה בהתאם.
דפוסי איומים ידועים כוללים בין היתר את המיקום החריג של ניסיון ההתחברות, כשלי כניסה חוזרים ונשנים, הטרדת דחיפה של MFA ועוד הרבה יותר.
בדוק אם אפליקציית MFA שלך מציעה אימות מבוסס סיכונים. אם כן, אפשר לו להישאר מוגן מפני דואר זבל של MFA.
3. יישם את אימות FIDO2
אימוץ את FIDO2 צורת אימות בכל חברה יכולה למנוע התקפות עייפות של MFA.
FIDO2 מספק למשתמשים אימות ללא סיסמה ואימות רב-גורמי המבוסס על ביומטריה. מכיוון שאישורי הכניסה שלך לא עוזבים את המכשיר שלך, זה מבטל את הסיכון לגניבת אישורים, כך ששחקני איומים לא יכולים לבצע דואר זבל של הודעות MFA.
4. השבת את הודעת הדחיפה כשיטת אימות
תכונת הודעות הדחיפה של MFA נועדה להציע קלות לשימוש. בעלי חשבונות צריכים רק ללחוץ על "כן" או "אפשר" כדי להיכנס לחשבונות שלהם.
התקפות עייפות MFA מנצלות את התכונה הזו של אפליקציות אימות. השבתת התראות הדחיפה הפשוטות הללו כשיטת אימות באפליקציית המאמת שלך היא דרך מוכחת להגביר את אבטחת ה-MFA.
הנה כמה שיטות שבהן תוכל להשתמש כדי לאמת בקשת MFA:
- התאמת מספרים.
- אתגר ותגובה.
- סיסמה חד פעמית מבוססת זמן.
היתרון בשימוש בהתאמת מספרים או בסיסמה חד פעמית מבוססת זמן כשיטת אימות הוא שמשתמשים אינם יכולים לאשר בקשת MFA בטעות; הם יזדקקו למידע הדרוש כדי להשלים את תהליך האימות.
בדוק את אפליקציית האימות שלך כדי לדעת באיזו תכונת אימות MFA אתה יכול להשתמש במקום הודעות דחיפה פשוטות, המבקשות מהמשתמשים ללחוץ על "כן" או "אפשר" כדי לאשר ניסיונות כניסה.
5. הגבל את בקשות האימות
הגבלת מספר בקשות הכניסה באפליקציית אימות יכולה לסייע במניעת הפצצות מיידיות או עייפות של MFA. אבל לא כל המאמתים מציעים תכונה זו.
בדוק אם מאמת ה-MFA שלך מאפשר לך להגביל בקשות אימות; לאחר מכן, החשבון ייחסם.
6. הפצת מודעות אבטחה סביב MFA
אם אתה מנהל חברה, הדרך הטובה ביותר לסכל התקפות עייפות של MFA היא אימון מודעות לאבטחה. ודא שהעובדים שלך יודעים איך נראית התקפת עייפות MFA ומה לעשות כשהיא מתרחשת. כמו כן, הם אמורים להיות מסוגלים לזהות דוא"ל דיוג, המבקש מהם לאשר בקשות MFA.
אימון קבוע של העובדים שלך על שיטות אבטחת הסייבר הטובות ביותר עוזר להגן על חשבונות.
אל תידחף לטעות
אימות רב-גורמי מוסיף שכבת אבטחה נוספת לחשבונות שלך. זה יגן על החשבונות שלך גם אם שחקני איומים יקבלו גישה לאישורי הכניסה שלך. אבל אתה צריך להיזהר מהתקף עייפות של MFA. זה אולי מעצבן, אבל אל תסתבך.
