Считалось, что многофакторная аутентификация (MFA) станет панацеей. Благодаря требованию дополнительного шага проверки – в основном через push-уведомления или одноразовый код – организации получили возможность радикально снизить вероятность несанкционированного доступа. Однако злоумышленники постоянно совершенствуют свои методы. Следствием этого является использование усталости от MFA – тактики, направленной на манипулирование поведением пользователей для преодоления даже надежно настроенных защитных механизмов MFA.
Что такое усталость от MFA?
В качестве примера можно рассмотреть следующую ситуацию: 2 часа ночи, телефон пользователя во время сна вибрирует из-за поступления запроса на аутентификацию. Этот запрос игнорируется, однако через пять минут появляется новое уведомление, за которым следуют другие. Количество запросов MFA постоянно растет. В этом случае остается три возможных сценария:
- Проигнорировать их в попытке уснуть, надеясь на прекращение вибрации.
- Обратиться к команде безопасности – при условии, что она работает ночью.
- Нажать кнопку «Подтвердить» исключительно ради прекращения непрерывного потока сообщений.
В большинстве случаев главной целью пользователя является возвращение ко сну, и на такую реакцию делают ставку злоумышленники. Путем массированной рассылки запросов на аутентификацию они провоцируют усталость от MFA, психологически истощая цель, пока попытка входа не получит окончательного подтверждения.
Причины эффективности усталости от MFA
Традиционные фишинговые атаки направлены на выманивание учетных данных. Механизм MFA разрабатывался для предотвращения таких инцидентов путем внедрения дополнительного этапа проверки пользователем. Однако атаки на основе усталости от MFA действуют по другому принципу. Вместо непосредственного похищения информации они психологически давят на пользователей, побуждая их добровольно предоставить доступ.
- Непрерывность: злоумышленники генерируют десятки или сотни push-уведомлений, что приводит к постоянному росту раздражения.
- Временной фактор: атаки в основном осуществляются в нерабочее время (поздно ночью или в выходные дни), когда бдительность минимальна.
- Применение социальной инженерии: в случае неэффективности массированных уведомлений злоумышленники могут имитировать обращение от IT-поддержки через сообщения или звонки с заявлением: «Одобрение этого запроса обязательно для устранения системной ошибки».
В результате пользователь поддается давлению. Все решает единственное нажатие.
Реальные кейсы кибератак на основе усталости от MFA
Усталость от MFA выходит за пределы теоретических рисков. В течение последних лет эта тактика стала причиной компрометации нескольких ведущих мировых брендов.
Uber (сентябрь 2022 года)
- Злоумышленники: группа Lapsus$.
- Ход событий: получив несанкционированный доступ к учетным данным внешнего подрядчика, группа Lapsus$ сгенерировала массированный поток push-уведомлений MFA. В ответ на колебания подрядчика ему пришло сообщение в WhatsApp от имени IT-поддержки Uber с требованием подтвердить вход.
- Последствия: компрометация внутреннего корпоративного мессенджера Slack, облачных сред и административных панелей Uber.
Cisco (май 2022 года)
- Ход событий: злоумышленники применили комбинацию голосового фишинга и непрерывных запросов MFA, направленных на личные аккаунты Google, которые были связаны с сетью VPN Cisco. В результате один из сотрудников подтвердил запрос, чем обеспечил злоумышленникам доступ ко внутренней корпоративной сети.
- Последствия: создание условий для развития атаки (lateral movement) в инфраструктуре Cisco.
Robinhood (2022 год)
- Ход событий: использование метода подбора учетных данных позволило перехватить управление аккаунтами пользователей. Впоследствии злоумышленники генерировали непрерывный поток запросов MFA на эти учетные записи. В попытке прекратить поступление уведомлений часть раздраженных пользователей одобрила доступ.
- Последствия: создание условий для выполнения несанкционированных торговых операций и инициирования попыток вывода финансовых активов.
Okta (январь 2022 года)
- Злоумышленники: группировка Lapsus$.
- Ход событий: объектом атаки был выбран инженер поддержки от сторонней организации. Непрерывный поток запросов MFA психологически истощил сотрудника, в результате чего он подтвердил предоставление доступа.
- Последствия: создание для злоумышленников точки закрепления в инфраструктуре компании Okta.
Microsoft (март 2022 года)
- Ход событий: как часть более масштабной кампании, вероятное применение тактик на основе усталости от MFA помогло скомпрометировать учетные данные Microsoft.
- Последствия: злоумышленники получили доступ к внутренним репозиториям, что позволило им скопировать исходный код Bing, Cortana и ряда других проектов.
Другие корпоративные цели
Компании уровня Twitter и Samsung, а также множество клиентских сред Office 365 фиксировали целенаправленные кампании на основе усталости от MFA. Эти атаки в основном связывают с деятельностью сложных группировок, в частности Midnight Blizzard (известной как APT29).
Противодействие усталости от MFA
Каким образом можно выстроить защиту от атаки, которая базируется на особенностях человеческой психологии и массированной рассылке уведомлений?
1. Внедрение MFA, устойчивой к фишингу
Несмотря на удобство MFA на базе push-уведомлений, именно она становится основной целью для атак, направленных на истощение пользователей. Рекомендуется применять более надежные механизмы:
- Аппаратные токены стандарта FIDO2 (YubiKeys, Titan Keys): физические устройства, обязательные для прохождения аутентификации.
- Аутентификация с помощью сертификатов: привязывается к определенным устройствам, что позволяет сократить количество запросов.
- Сопоставление чисел (например, Microsoft Authenticator): требует ввода сгенерированного на экране авторизации кода, что делает невозможными случайные подтверждения.
2. Применение адаптивного контроля
- Политики географического и временного контроля: блокировка или инициирование дополнительной проверки подозрительных попыток авторизации, прежде всего из нетипичных локаций или в нерабочие часы.
- Ограничение интенсивности: автоматическое замедление или блокировка непрерывных запросов MFA для минимизации спама.
3. Адаптация обучающих программ к новым угрозам
Традиционные тренинги по кибербезопасности в основном ориентированы на фишинговые рассылки. Компаниям следует отдельно повышать осведомленность пользователей о специфике усталости от MFA:
- Доносить информацию о том, что серии запросов являются тактикой злоумышленников, а не системной ошибкой.
- Побуждать к отклонению и регистрации аномальных запросов – в частности тех, которые поступают поздно ночью.
- Формировать культуру бдительности. Практика чрезмерного информирования лучше случайного подтверждения входа.
4. Построение непрерывного канала коммуникации по вопросам безопасности
Важно обеспечить сотрудникам максимально удобный механизм фиксации и передачи информации о подозрительной активности. Оперативное оповещение через Slack или обращение на горячую линию способно предотвратить успешную реализацию атаки. Для команд безопасности, которые стремятся избежать «усталости от уведомлений», целесообразным является внедрение систем первичной сортировки или автоматизированных рабочих процессов для фильтрации настоящих угроз от ложных срабатываний.
Выводы
Несмотря на то, что многофакторная аутентификация остается одним из самых действенных механизмов контроля безопасности, она не гарантирует абсолютной защиты. Усталость от MFA ярко иллюстрирует, каким образом злоумышленники могут нивелировать эффективность качественных защитных систем через манипулирование человеческим поведением.
Оптимальный подход заключается не в отмене MFA, а в ее дальнейшей эволюции. Это достигается благодаря внедрению устойчивых к фишингу механизмов, настройке адаптивных политик и обучению пользователей методам распознавания современных психологических тактик злоумышленников.
Платформа Arsen помогает усилить защиту одного из самых уязвимых звеньев корпоративной кибербезопасности – сотрудников. Человеческий фактор остается одним из ключевых вызовов для безопасности организаций, особенно учитывая совершенствование методов социальной инженерии благодаря развитию ИИ.
