Dlaczego MFA to za mało - jak cyberprzestępcy omijają uwierzytelnianie wieloskładnikowe

MFA, czyli uwierzytelnianie wieloskładnikowe, przez lata było uznawane za cyfrową tarczę nie do przebicia. Zastanawiając się, co to jest MFA, większość z nas wyobraża sobie prosty, ale skuteczny mechanizm: nawet jeśli ktoś pozna nasze hasło, nie wejdzie na konto bez fizycznego dostępu do telefonu lub klucza bezpieczeństwa. To założenie sprawiło, że uwierzytelnianie MFA stało się standardem w firmach i usługach prywatnych. Niestety, cyberprzestępcy nie próżnują i nauczyli się skutecznie obchodzić to zabezpieczenie. Dzisiaj poleganie wyłącznie na tradycyjnych metodach weryfikacji to za mało, by czuć się w pełni bezpiecznym w sieci. Spis treści

1. Pułapka zmęczenia, czyli jak hakerzy bombardują nas alertami
2. Ataki AiTM, czyli przechwytywanie sesji w locie
3. Czym różni 2FA od MFA?
4. Słabe ogniwo, czyli socjotechnika wymierzona w działy wsparcia
5. Podsumowanie
6. FAQ

Pułapka zmęczenia, czyli jak hakerzy bombardują nas alertami

Jedną z najpopularniejszych metod omijania tej zapory jest tzw. MFA Fatigue, czyli zmęczenie alertami. Przestępca, który zdobył hasło ofiary, generuje dziesiątki powiadomień push na jej telefonie o próbie logowania. Użytkownik, bombardowany komunikatami w środku nocy lub podczas spotkania, w końcu klika „zezwól” dla świętego spokoju. W ten sposób hakerzy uzyskują dostęp do sieci korporacyjnej, w czym pomóc musi profesjonalna firma IT, by wdrożyć bardziej zaawansowane reguły dostępu warunkowego. Tradycyjne uwierzytelnianie MFA bez kontekstu (np. geolokalizacji czy weryfikacji urządzenia) przestaje spełniać swoją podstawową rolę ochronną.

Ataki AiTM, czyli przechwytywanie sesji w locie

Innym potężnym zagrożeniem jest technika adversary-in-the-middle (AiTM). Przestępcy tworzą fałszywe strony logowania, które idealnie naśladują np. systemy bankowe czy firmową pocztę. Gdy użytkownik wpisuje tam swoje dane oraz kod z SMS-a lub aplikacji, serwer pośredniczący przechwytuje nie tylko hasło, ale też aktywny token sesji. Co to jest MFA w starciu z takim atakiem? Niestety, staje się bezużyteczne, ponieważ haker natychmacie loguje się do prawdziwej usługi jako uwierzytelniony użytkownik. Zrozumienie, czym się różni 2FA od MFA, pozwala lepiej pojąć skalę problemu – MFA powinno oferować więcej warstw ochronnych, a nie tylko jedną dodatkową barierę.

Czym różni 2FA od MFA?

Warto w tym miejscu doprecyzować pojęcia, ponieważ w branży często pojawia się chaos terminologiczny związany z 2FA i MFA. Choć oba skróty dotyczą ochrony konta, nie są tożsame. Zastanawiając się, czym się różni 2FA od MFA, warto pamiętać, że to pierwsze wymaga dokładnie dwóch składników, podczas gdy to drugie może wykorzystywać ich znacznie więcej, w tym czynniki behawioralne czy biometrię. Aby skutecznie odpierać zaawansowane ataki phishingowe, bezpieczne organizacje stawiają na rozwiązania odporne na wyłudzenia, takie jak klucze FIDO2. Wdrożenie takich standardów w przedsiębiorstwie to często złożona integracja systemów informatycznych, która wymaga wiedzy technicznej.

Słabe ogniwo, czyli socjotechnika wymierzona w działy wsparcia

Cyberprzestępcy doskonale wiedzą też, jak wykorzystać czynnik ludzki poprzez socjotechnikę skierowaną na działy wsparcia. Często dzwonią oni do pracowników odpowiedzialnych za helpdesk IT, podszywając się pod zablokowanego pracownika, który rzekomo zgubił telefon i nie może przejść weryfikacji. Jeśli procedury wewnętrzne zawiodą, konsultant może zresetować ustawienia zabezpieczeń i przypisać nowe urządzenie do konta napastnika. Właśnie dlatego samo wdrożenie 2FA MFA w systemach nie wystarczy – kluczowe jest ciągłe szkolenie personelu oraz dbanie o szeroko pojęte bezpieczeństwo systemów teleinformatycznych na każdym szczeblu organizacji.

Oto kluczowe powody, dla których tradycyjne podejście do wieloskładnikowości zawodzi w starciu z nowoczesnymi zagrożeniami:

• przechwytywanie tokenów sesyjnych za pomocą fałszywych serwerów proxy (ataki AiTM)
• ataki socjotechniczne na administratorów i wsparcie techniczne w celu zresetowania haseł
• zmęczenie użytkowników powiadomieniami push, prowadzące do bezwiednego akceptowania prób logowania
• wykorzystanie luk w protokołach sieciowych oraz klonowanie kart SIM (SIM-swapping) przy kodach SMS.

Podsumowanie

Poleganie na podstawowej weryfikacji wieloskładnikowej nie gwarantuje już pełnej nietykalności w cyfrowym świecie. Cyberprzestępcy dysponują narzędziami, które potrafią przechytrzyć nieświadomego użytkownika lub obejść kody zabezpieczające poprzez zaawansowany phishing. Ochrona zasobów firmy wymaga przejścia na uwierzytelnianie odporne na wyłudzenia (phishing-resistant) oraz ciągłego monitorowania podejrzanych zachowań w sieci. Bezpieczeństwo to proces, który musi ewoluować szybciej niż techniki stosowane przez hakerów.

FAQ

Czym się różni 2FA od MFA?

Uwierzytelnianie 2FA wymaga użycia dokładnie dwóch różnych czynników weryfikacji, na przykład hasła oraz kodu wysłanego wiadomością SMS. Z kolei MFA to szersze pojęcie, które pozwala na zastosowanie dwóch lub więcej niezależnych składników, w tym biometrii, lokalizacji czy certyfikatów sprzętowych.

Jak cyberprzestępcy omijają uwierzytelnianie MFA?

Najczęstsze metody to ataki typu AiTM polegające na przechwytywaniu tokenów sesji przez fałszywe strony oraz technika MFA Fatigue, w której użytkownik jest zalewany powiadomieniami push, aż dla świętego spokoju zaakceptuje jedno z nich. Hakerzy stosują również socjotechnikę, manipulując pracownikami wsparcia technicznego w celu zresetowania zabezpieczeń konta.

Co to jest MFA odporne na phishing?

MFA odporne na phishing to zaawansowana forma uwierzytelniania wieloskładnikowego, która opiera się na protokołach kryptograficznych uniemożliwiających przechwycenie danych logowania przez fałszywe strony internetowe. Przykładem takiego rozwiązania są fizyczne klucze bezpieczeństwa zgodne ze standardem FIDO2 lub uwierzytelnianie oparte na certyfikatach urządzeń.