Group IB

Двухфакторная аутентификация больше не самый безопасный способ защиты

02.01.2022
 Двухфакторная аутентификация больше не самый безопасный способ защиты

Двухфакторная аутентификация представляет собой систему двух ключей, где один приходит пользователю извне (имеется в виду SMS с кодом, которое приходит на телефон), другой же человек запоминает (обычные логин и пароль). Двухфакторная аутентификация считалась одной из самых надежных способов защиты аккаунта.

Новое исследование, проведенное сотрудниками Stony Brook University и Palo Alto Networks показало, что двухфакторная аутентификация больше не считается лучшим методом для защиты аккаунтов в интернете, пишет SecurityLab. Программы, которые обходят такой тип авторизации были и раньше, но сейчас они получили широкое распространение и работают гораздо эффективнее.

Кроме того, как отмечают исследователи, ПО для обхода двухфакторной аутентификации постепенно становится более демократичным и доступным для широкого круга киберпреступников.

Сейчас намного проще получить набор для взлома, предлагаемый злоумышленниками. Если раньше для поиска таких инструментов приходилось исследовать даркнет, то теперь они доступны в Интернете. Хакерские комплекты позволяют с минимальными усилиями (или вообще без них) похитить cookie-файлы аутентификации. После этого, сайт будет считать киберпреступника легитимным пользователем и без проблем даст войти под его именем. При этом не потребуется даже обычный пароль.

Дело в том, что cookie-файлы обычно хранят в себе токены авторизации аккаунтов пользователей, чтобы им не пришлось вводить логин на сайте при каждом его открытии.

По словам исследователей, предлагаемые хакерские наборы эффективны на большинстве крупных сайтов и приложений. За время исследования они обнаружили не менее 1200 комплектов.

Отмечается, что хакеры уже несколько лет могут обходить двухфакторную аутентификацию. Однако, с другой стороны, широкое распространение наборов для взлома и более простое их получение, вызывает у исследователей серьезное беспокойство.