Про "ненадійність" MFA та нові технології зламу систем

#security #testing

Колись, треба було мати хоча б один пароль (який-небудь) для усіх сервісів. Потім рекомендували мати складний пароль з цифрами, спеціальними символами та літерами. Бажано - різний для кожного Вашого сервісу.
Далі настала потреба мати ще більше захисту - ввели OTP або інший варіант мульти-факторної аутентифікації. Один з розповсюджених варіантів - користуватись сервісом для генерації паролів типу Google Authenticator.

Та чи справді це гарантія захисту? Виявляється, що ні.
В кінці серпня цього року компанію Retool зламали. Причому зламали аккаунти, що були захищені MFA.

Але як?
Зловмисники спочатку надіслали фішингові SMS співробітникам. Більшість людей проігнорувала такі SMS, але одна людина таки клікнула.
Далі, ця людина зайшла по посиланню на фейковий "робочий" портал та ввела свій логін та пароль. А для того, щоб отримати згенерований пароль з Google Authenticator - зловмисники подзвонили цій людині, змінили свій голос за допомогою deepfake!!! на голос системного адміністратора та попросили співробітника сказати цей OTP пароль. Причому, хакери мали достатньо інформації про компанію, щоб звучати переконливо.

Додатковою проблемою стало те, що Google Authenticator з замовчуванням дозволяє синхронізувати дані між девайсами. Тому зловмисникам вдалося отримати не просто разовий доступ до аккаунту, а постійний.

Висновки:
- скільки не будуй систему безпеки - найбільш ненадійними все ще залишаються люди
- треба вивчати та перевіряти усі функції систем (навіть ті, що йдуть за замовчуванням та "покращують" usability)

Більше про цей інцидент - в блозі компанії.