Атака втомою від MFA

Що таке Атака втомою від MFA?

MFA зупиняє зловмисника, у якого є лише вкрадений пароль, тож натомість атакують людину, яка відповідає на запит. Пізно вночі починають надходити push-запити. Ви відхиляєте перші два, а потім повідомлення нібито від служби ІТ-підтримки каже, що це планові роботи, і просить схвалити наступний. Ви розберетеся з наслідками, зателефонуєте справжньому ІТ-відділу, подасте звіт і дізнаєтеся, які заходи захисту цьому запобігають. Сценарій відтворює злам Uber 2022 року — він стався саме так.

Що ви дізнаєтесь у Атака втомою від MFA

• Розпізнавайте атаку втомою від MFA (push bombing) з першого несподіваного запиту, ще до того, як у хід піде соціальна інженерія
• Дотримуйтеся правила «відхиляйте кожен запит, якого ви не ініціювали, хоч скільки б їх надійшло», навіть коли ви втомлені й вас підганяє час
• Сприймайте як ворожі спроби видати себе за ІТ-відділ поза офіційними каналами (WhatsApp, Telegram, особистий телефон), хоч би як переконливо вони звучали
• Правильно діяйте після успішного зламу облікового запису: телефонуйте справжньому ІТ-відділу, подавайте ґрунтовний звіт про інцидент і попереджайте команду про цей сценарій атаки
• Обирайте надійніші засоби MFA — зіставлення чисел і апаратні ключі FIDO2, стійкі до фішингу, — що зупиняють атаки втомою на рівні протоколу

Атака втомою від MFA — Кроки навчання

1. Завершення робочого дня

   Четвер, кілька хвилин по одинадцятій вечора. Аліса щойно надіслала останній лист за день — оновлення маршрутів для завтрашнього графіка перевезень — і збирається закрити ноутбук. Телефон лежить поруч на столі й заряджається. У її робочому обліковому записі ввімкнено MFA. Вона спить спокійніше, знаючи про цей захист.

2. Несподіваний запит на вхід

   На телефон Аліси приходить push-запит MFA: хтось намагається увійти в її обліковий запис на порталі Northridge Logistics Portal. На ноутбуці вона вже увійшла, а новий вхід не ініціювала.

3. Відхилення першого запиту

   Цей вхід виконує не Аліса. Правильно — одразу відхилити запит.

4. Одразу ще один

   Аліса не встигає відкласти телефон, як приходить другий push-запит MFA. Той самий обліковий запис, та сама IP-адреса із Софії. Лічильник спроб у запиті тепер показує Спроба № 2 . Той, хто знає її пароль, не здається.

5. Повідомлення від «ІТ-відділу»

   Поки Аліса дивиться на телефон і не розуміє, що відбувається, у WhatsApp приходить повідомлення від того, хто назвався Служба ІТ-підтримки Northridge . Цього контакту немає в її телефонній книзі.

6. Читаємо між рядків

   У звичайний день Аліса помітила б у цьому повідомленні тривожні ознаки. Але зараз уже по одинадцятій вечора, вона втомлена, а в повідомленні підібрано потрібні слова: «ротація облікових даних», «повторна перевірка сеансів», «служба ІТ-підтримки». Зловмисник розраховує саме на таку втому.

7. Запит, що вирішує все

   Саме вчасно приходить третій push-запит MFA. Аліса пояснює собі: може, ІТ і справді проводить технічні роботи. Якщо схвалити один раз, галас припиниться, і вона нарешті засне. Вона торкається «Схвалити».

8. Оманлива тиша

   Запити припиняються. Аліса видихає, ставить телефон на зарядку й лягає спати. У Софії зловмисник тим часом уже увійшов в її обліковий запис на порталі Northridge Logistics Portal. Доки система виявлення аномалій у компанії не помітить вхід із-за кордону, у нього є приблизно двадцять хвилин.

9. Лист, у якому щось не сходиться

   Аліса сідає з кавою у домашньому кабінеті. У папці «Вхідні» кілька нічних листів. Перший — від Девіда Парка з фінансового відділу, і тема листа змушує її завмерти.

10. Усе починає складатися

    Цього листа Аліса не надсилала. Змінювати банківські реквізити постачальника електронною поштою вона не стала б ніколи. В Аліси все обривається всередині.