Вважалося, що багатофакторна автентифікація (MFA) стане панацеєю. Завдяки вимозі додаткового кроку перевірки – здебільшого через push-сповіщення чи одноразовий код – організації отримували змогу радикально зменшити ймовірність несанкціонованого доступу. Проте зловмисники постійно вдосконалюють свої методи. Наслідком цього є використання втоми від MFA – тактики, спрямованої на маніпулювання поведінкою користувачів задля подолання навіть надійно налаштованих захисних механізмів MFA.
Що таке втома від MFA?
Як приклад можна розглянути таку ситуацію: 2-га година ночі, телефон користувача під час сну вібрує через надходження запиту на автентифікацію. Цей запит ігнорується, проте за п’ять хвилин з’являється нове сповіщення, за яким слідують інші. Кількість запитів MFA постійно зростає. У цьому випадку залишається три можливі сценарії:
- Проігнорувати їх у спробі заснути, сподіваючись на припинення вібрації.
- Звернутися до команди безпеки – за умови, що вона працює вночі.
- Натиснути кнопку «Затвердити» виключно задля припинення безперервного потоку повідомлень.
Здебільшого головною метою користувача є повернення до сну, і на таку реакцію роблять ставку зловмисники. Шляхом масованого розсилання запитів на автентифікацію вони провокують втому від MFA, психологічно виснажуючи ціль, аж поки спроба входу не отримає остаточного підтвердження.
Причини ефективності втоми від MFA
Традиційні фішингові атаки спрямовані на виманювання облікових даних. Механізм MFA розроблявся для запобігання таким інцидентам шляхом запровадження додаткового етапу перевірки користувачем. Проте атаки на основі втоми від MFA діють за іншим принципом. Замість безпосереднього викрадення інформації вони психологічно тиснуть на користувачів, спонукаючи їх добровільно надати доступ.
- Безперервність: зловмисники генерують десятки чи сотні push-сповіщень, що призводить до постійного зростання роздратування.
- Часовий фактор: атаки здебільшого здійснюються в неробочий час (пізно вночі або у вихідні дні), коли пильність є мінімальною.
- Застосування соціальної інженерії: у разі неефективності масованих сповіщень зловмисники можуть імітувати звернення від ІТ-підтримки через повідомлення або дзвінки із заявою: «Схвалення цього запиту є обов’язковим для усунення системної помилки».
У результаті користувач піддається тиску. Усе вирішує єдине натискання.
Реальні кейси кібератак на основі втоми від MFA
Втома від MFA виходить за межі теоретичних ризиків. Протягом останніх років ця тактика стала причиною компрометації кількох провідних світових брендів.
Uber (вересень 2022 року)
- Зловмисники: група Lapsus$.
- Перебіг подій: отримавши несанкціонований доступ до облікових даних зовнішнього підрядника, група Lapsus$ згенерувала масований потік push-сповіщень MFA. У відповідь на вагання підрядника йому надійшло повідомлення у WhatsApp від імені ІТ-підтримки Uber із вимогою підтвердити вхід.
- Наслідки: компрометація внутрішнього корпоративного месенджера Slack, хмарних середовищ та адміністративних панелей Uber.
Cisco (травень 2022 року)
- Перебіг подій: зловмисники застосували комбінацію голосового фішингу та безперервних запитів MFA, спрямованих на особисті акаунти Google, що були пов’язані з мережею VPN Cisco. У результаті один із працівників підтвердив запит, чим забезпечив зловмисникам доступ до внутрішньої корпоративної мережі.
- Наслідки: створення умов для розгалуження атаки (lateral movement) в інфраструктурі Cisco.
Robinhood (2022 рік)
- Перебіг подій: використання методу підбору облікових даних дозволило перехопити керування акаунтами користувачів. Згодом зловмисники генерували безперервний потік запитів MFA на ці облікові записи. У спробі припинити надходження сповіщень частина роздратованих користувачів схвалила доступ.
- Наслідки: створення умов для виконання несанкціонованих торгових операцій та ініціювання спроб виведення фінансових активів.
Okta (січень 2022 року)
- Зловмисники: угруповання Lapsus$.
- Перебіг подій: об’єктом атаки було обрано інженера підтримки від сторонньої організації. Безперервний потік запитів MFA психологічно виснажив працівника, унаслідок чого він підтвердив надання доступу.
- Наслідки: створення для зловмисників точки закріплення в інфраструктурі компанії Okta.
Microsoft (березень 2022 року)
- Перебіг подій: як частина масштабнішої кампанії, імовірне застосування тактик на основі втоми від MFA допомогло скомпрометувати облікові дані Microsoft.
- Наслідки: зловмисники здобули доступ до внутрішніх репозиторіїв, що дозволило їм скопіювати вихідний код Bing, Cortana та низки інших проєктів.
Інші корпоративні цілі
Компанії рівня Twitter і Samsung, а також безліч клієнтських середовищ Office 365 фіксували цілеспрямовані кампанії на основі втоми від MFA. Ці атаки здебільшого пов’язують із діяльністю складних угруповань, зокрема Midnight Blizzard (відомого як APT29).
Протидія втомі від MFA
Яким чином можна побудувати захист від атаки, яка базується на особливостях людської психології та масованому розсиланні сповіщень?
1. Впровадження MFA, стійкої до фішингу
Попри зручність MFA на базі push-сповіщень, саме вона стає основною ціллю для атак, спрямованих на виснаження користувачів. Рекомендується застосовувати більш надійні механізми:
- Апаратні токени стандарту FIDO2 (YubiKeys, Titan Keys): фізичні пристрої, обов’язкові для проходження автентифікації.
- Автентифікація за допомогою сертифікатів: прив’язується до визначених пристроїв, що дозволяє скоротити кількість запитів.
- Зіставлення чисел (наприклад, Microsoft Authenticator): вимагає введення згенерованого на екрані авторизації коду, що унеможливлює випадкові підтвердження.
2. Застосування адаптивного контролю
- Політики географічного та часового контролю: блокування чи ініціювання додаткової перевірки підозрілих спроб авторизації, передусім із нетипових локацій або в неробочі години.
- Обмеження інтенсивності: автоматичне вповільнення або блокування безперервних запитів MFA для мінімізації спаму.
3. Адаптація навчальних програм до нових загроз
Традиційні тренінги з кібербезпеки здебільшого орієнтовані на фішингові розсилки. Компаніям варто окремо підвищувати обізнаність користувачів про специфіку втоми від MFA:
- Доносити інформацію про те, що серії запитів є тактикою зловмисників, а не системною помилкою.
- Спонукати до відхилення та реєстрації аномальних запитів – зокрема тих, що надходять пізно вночі.
- Формувати культуру пильності. Практика надмірного інформування є кращою за випадкове підтвердження входу.
4. Побудова безперервного каналу комунікації щодо безпеки
Важливо забезпечити співробітникам максимально зручний механізм фіксації та передавання інформації про підозрілу активність. Оперативне сповіщення через Slack або звернення на гарячу лінію здатне запобігти успішній реалізації атаки.
Для команд безпеки, які прагнуть уникнути «втоми від сповіщень», доцільним є впровадження систем первинного сортування чи автоматизованих робочих процесів задля фільтрації справжніх загроз від хибних спрацьовувань.
Висновки
Попри те, що багатофакторна автентифікація залишається одним із найдієвіших механізмів контролю безпеки, вона не гарантує абсолютного захисту. Втома від MFA яскраво ілюструє, яким чином зловмисники можуть нівелювати ефективність якісних захисних систем через маніпулювання людською поведінкою.
Оптимальний підхід полягає не в скасуванні MFA, а в її подальшій еволюції. Це досягається завдяки впровадженню стійких до фішингу механізмів, налаштуванню адаптивних політик і навчанню користувачів методів розпізнавання сучасних психологічних тактик зловмисників.
Платформа Arsen допомагає посилити захист однієї з найвразливіших ланок корпоративної кібербезпеки – співробітників. Людський фактор залишається одним із ключових викликів для безпеки організацій, особливо з огляду на вдосконалення методів соціальної інженерії завдяки розвитку ШІ.
