websights Nee, niet alle MFA oplossingen zijn kwetsbaar voor een prompt bombardement - TrustBuilder

Op zoek naar inwebo.com? Dan ben je hier op de juiste plek! Lees er alles over in onze blogpost

Kom en bezoek ons persoonlijk op de komende branchebeurzen en conferenties

Nee, niet alle MFA oplossingen zijn kwetsbaar voor een prompt bombardement.

Heb je ooit gehoord van MFA prompt bombing? Het is het hete hangijzer van het moment in cybersecurity. Deze techniek werd onlangs gebruikt tegen Uber door de beruchte hackersgroep "Lapsus$".

En Uber is allesbehalve een geïsoleerd geval. De huidige cybercriminelen innoveren voortdurend door gebruik te maken van de kleinste mazen in de digitale wereld. Zij zijn in staat sommige sterke authenticatiesystemen (2FA) te omzeilen, die weliswaar een extra beveiligingslaag voor gebruikersaccounts bieden, maar een laag die grotendeels ontoereikend is gezien de complexiteit van de huidige aanvallen.

Afbeelding-artikel-MFA-vermoeidheid-WP-v3

De Identity Defined Security Alliance (IDSA) heeft onlangs een rapport uitgebracht over de 2022 Trends in het beveiligen van digitale identiteiten. Van de 500 ondervraagde IT-professionals meldde 84% dat hun organisatie het afgelopen jaar te maken had gehad met identiteitsdiefstal¹. Een stijging van 5 punten ten opzichte van het rapport van vorig jaar.

Om deze bedreigingen het hoofd te bieden, is het meer dan essentieel om werknemers en klanten voor te lichten over beste praktijken en de bestaande beveiligingsinfrastructuur te versterken.

Hoe werkt prompt bombarderen?

Prompt bombing (of push bombing) aanvallen gebruiken multi-factor authenticatie om gebruikers te overspoelen met push meldingen en hun accounts te hacken. Met opzet of niet, sommigen accepteren uiteindelijk verzoeken die door de hackers zijn geïnitieerd.

Om toegang te krijgen tot de gegevens van hun doelwitten, verkrijgen hackers illegaal geldige inloggegevens. Tijdens de inlogpoging vertrouwen zij erop dat een met meldingen overspoelde gebruiker op een gegeven moment de authenticatie zal goedkeuren. De term "MFA Fatigue" verwijst naar de vermoeidheid van de gebruikers als gevolg van deze talloze meldingen.

Het klinkt triviaal, maar het werkte bij Uber. De hacker gebruikte de inloggegevens van een werknemer en stuurde hem op agressieve wijze pushmeldingen. Voordat hij zijn goedkeuring gaf, werd de gebruiker zelfs op WhatsApp benaderd door een zogenaamd lid van het IT-team van zijn bedrijf, met het verzoek de notificatie te accepteren zodat deze zou stoppen. Dit is een vorm van social engineering.

Een succesvolle poging tot prompt bombing kan hackers de mogelijkheid geven hun apparaat toe te voegen aan het gekraakte account en de toegang van de oorspronkelijke gebruiker te verwijderen. Afhankelijk van de machtigingen die het slachtoffer binnen de organisatie heeft, kunnen aanvallers toegang krijgen tot meer of minder vertrouwelijke gegevens en bronnen en deze exploiteren.

Snelle bombardementen bestrijden met inWebo MFA

Moderne aanvallen vereisen moderne methoden. Hier zijn de verschillende oplossingen die inWebo voorstelt om prompt bombardement tegen te gaan:

De dienst instellen voor meer veiligheid

inWebo biedt een extra beveiligingsniveau via de instelmogelijkheden. Het is bijvoorbeeld mogelijk om de pincode verplicht te stellen en biometrie op mobiele telefoons niet toe te staan, wat onvrijwillige of op gewoonte gebaseerde acceptatie in de hand werkt.

Ga naar de sectie "Service Parameters" van uw administratietool. Hier heeft u de mogelijkheid om te kiezen voor authenticatie met of zonder PIN en om het veld "Authenticatie met biometrie toegestaan" uit te schakelen. Merk op dat wanneer de PIN is uitgeschakeld, biometrische authenticatie niet beschikbaar is.

Registreer de browser van uw gebruikers

De inWebo Browser token oplossing maakt de registratie van web en mobiele browsers mogelijk. Het certificeert dat de verbindingspoging afkomstig is van een vertrouwde browser, d.w.z. van een door het bedrijf geregistreerd apparaat. Het is mogelijk deze afhandeling verplicht te stellen om de veiligheid van de verbindingen aanzienlijk te verhogen. Dit systeem biedt een antwoord op zowel snelle bombardementen als potentiële aanvallen van de phishingdienst Evil Proxy.

 

Ontdek hoe u een gebruiker toevoegt aan uw platform en hem veilig laat authenticeren. Activeer uw account door de procedures in de e-mailuitnodiging te volgen. Meld uw vertrouwde browser aan door uw PIN en anti-phishingzin te activeren en in te stellen. Voeg uw mobiele telefoon toe of voltooi de stappen rechtstreeks op uw browser.

Video afspelen

Pushmeldingen uitschakelen

Het inWebo multi-factor authenticatie systeem laat de gebruiker toe om push meldingen uit te schakelen. Om in te loggen zal hij zelf rechtstreeks de inlogpogingen in de applicatie moeten valideren. Zonder ontijdige verzoeken is de gebruiker beschermd tegen prompt bombing attacks.

Genereer een eenmalig wachtwoord (OTP)

De hierboven beschreven methoden kunnen verder worden uitgebreid met inWebo's eenmalig wachtwoord (OTP). Deze oplossing vereist dat de gebruiker een uniek wachtwoord genereert op zijn mobiele telefoon. Dit OTP moet vervolgens worden ingevoerd op de vertrouwde browser. Zonder enig extern verzoek, via een keten van gecertificeerde apparaten, wordt de verbinding met de meest gevoelige gegevens op het hoogste niveau beschermd.

Om deze handeling uit te voeren, gaat u gewoon naar het authenticatieportaal van uw organisatie en selecteert u "Toon me andere opties". U wordt gevraagd om uw login en OTP. Ga naar uw mobiele applicatie en selecteer "Genereer een OTP". U krijgt dan een eenmalig wachtwoord, dat na 30 seconden automatisch verloopt. Voer dit wachtwoord in op uw browser om uw verificatie te voltooien.

Er is nog een lange weg te gaan voordat MFA systemen volledig bestand zijn tegen snelle bombardementen. Dat gezegd zijnde, zoals de oplossing inWebo MFA laat zien, zijn er al veel manieren om de technische en sociale diversiteit van cyberaanvallen te bestrijden, zolang je maar zorgvuldig omgaat met de gekozen tools en het beveiligingsbeleid. Niet alle oplossingen MFA zijn gelijk en 2FA is niet zo sterk als MFA.

Bewustmaking en voorlichting van gebruikers over beste praktijken

De invoering van deze beveiligingsmechanismen alleen is niet voldoende. Het is nu nodig de gebruikers bewust te maken van prompt bombing attacks en hen te leren hoe zij het juiste gedrag kunnen aannemen. Deze preventieve maatregelen maken het gemakkelijker om verdachte authenticatieverzoeken te herkennen en dienovereenkomstig te reageren.

Sommige klanten van inWebo hebben bijvoorbeeld campagnes gelanceerd op basis van de mogelijkheid van onze API om push-notificaties te versturen. Met een eenvoudig script simuleren beheerders prompt bomaanvallen op alle of een deel van de gebruikers van de oplossing. Zo kunnen ze detecteren welke gebruikers de aanval correct melden of juist degenen die eraan toegeven. Het is dan mogelijk de bewustmakingsboodschappen te richten op en aan te passen aan de technologische rijpheid van de verschillende doelgroepen.

Versterk uw beveiligingsinfrastructuur met inWebo Browser Token

Dit jaar was bij 82% van de datalekken een menselijke factor betrokken². Dit zijn de resultaten van Verizon's 2022 Data Breach Investigations Report. Dit onderzoek op basis van 23.000 incidenten en 5.200 bevestigde inbreuken wereldwijd benadrukt het belang van bewustwordingsprogramma's. De zaak Uber is in lijn met de resultaten van dit onderzoek.

Hoewel bestaande beveiligingsinfrastructuren een echte beschermingslaag bieden, kunnen ze ook wrijving veroorzaken en de gebruikerservaring veranderen. Moderne multi-factor authenticatiemethoden bevelen nu het gebruik van FIDO2-beveiligingssleutels aan. De koppeling van deze hardwaresleutels met de inWebo Browser Token-technologie helpt zowel phishing als prompt bombing te bestrijden.

Prompt bombing (of push bombing) aanvallen maken gebruik van mazen in MFA systemen om gebruikers te bestoken met pushmeldingen en hun accounts te hacken. Sommige hackers, zoals in het geval van Uber, nemen zelfs contact op met hun slachtoffers via WhatsApp om ze zover te krijgen dat ze deze authenticatieverzoeken accepteren.

MFA vermoeidheid verwijst naar de vermoeidheid van de gebruikers met de ontelbare pushberichten die zij ontvangen tijdens een poging om MFA prompt te bombarderen.

Multi-factorauthenticatie (MFA), of sterke authenticatie, is een beveiligingsmechanisme dat twee of meer validatiefactoren vereist om de identiteit van een gebruiker te bewijzen. Meestal gaat het erom verbinding te maken met een netwerk, toepassing of andere bron zonder te hoeven vertrouwen op een eenvoudige combinatie van gebruikersnaam en wachtwoord.