Autor: Jan Kania-Zajma
Business development manager
Mail: jan@infoprotector.pl
MFA (Multi-Factor Authentication) jest już prawie standardem w każdej firmie, która poważnie myśli o bezpieczeństwie. Ale, mimo że to świetne narzędzie, użytkownicy nadal popełniają błędy, które otwierają drzwi dla cyberprzestępców. No i tu zaczynają się schody – bo nawet najlepszy system nie pomoże, jeśli nie będzie dobrze używany. Przyjrzyjmy się kilku najczęściej spotykanym błędom i zagrożeniom związanym z MFA, szczególnie z używaniem SMS-ów jako drugiego czynnika.
1. SIM Swapping – Nie taki SMS bezpieczny, jak się wydaje
Pewnie znasz ten temat: SMS jako drugi czynnik uwierzytelnienia to taki klasyk. Każdy to robi. Problem w tym, że cyberprzestępcy uwielbiają SIM swapping, czyli przejmowanie numeru telefonu. Jak to działa? Krótko mówiąc, haker podszywa się pod użytkownika, kontaktuje się z operatorem i przenosi numer ofiary na swoją kartę SIM. Kiedy to się uda, ma już pełen dostęp do wszystkich kodów SMS-owych i uwierzytelnienia padają jak domino.
Jak tego uniknąć?
- Jeśli to możliwe, unikaj SMS-ów jako drugiego czynnika. Są inne, bezpieczniejsze metody, jak aplikacje do uwierzytelniania (Google Authenticator, Authy, itd.) lub klucze sprzętowe.
- Warto w firmie pomyśleć o blokadzie zmian na numerze telefonu – nie każdy operator to oferuje, ale warto sprawdzić. Można też wykorzystać do tego np. rozwiązanie MDM, jeśli takie posiadacie. (Więcej o MDM dowiesz się tutaj)
2. Phishing i MFA – Nie wierz w każdy link
„No dobra, mamy MFA, więc phishing już nas nie dotyczy, prawda?” Otóż nie. MFA zmniejsza ryzyko, ale nie eliminuje go całkowicie. Hakerzy wiedzą, jak obejść MFA, i stosują coraz bardziej wyrafinowane techniki phishingowe. Jeden z popularniejszych ataków to phishing w czasie rzeczywistym, gdzie ofiara zostaje przekierowana na fałszywą stronę, wpisuje swoje dane, w tym kod MFA, a napastnik od razu loguje się na prawdziwej stronie. Tzw. kradzież „w locie”.
Jak tego uniknąć?
- Używaj bardziej zaawansowanych metod MFA, takich jak klucze sprzętowe (FIDO2, Yubikey).
- Szkolenia z bezpieczeństwa w tym np. z rozpoznawania phishingu nadal mają sens – nie ma lepszej obrony niż czujny użytkownik.
- Regularnie sprawdzaj logi dostępu i wdrażaj systemy wykrywania anomalii, które alarmują, jeśli coś wygląda podejrzanie.
- Dołóż kolejny składnik uwierzytelnienia. Miej jednak na uwadzę komfort pracy użytkownika. Znalezienia odpowiedniego balansu między efektywnością operacyjną a bezpieczeństwem to klucz do sukcesu.
3. Przesadne zaufanie do jednego czynnika
MFA samo w sobie nie jest magiczną tarczą. Wiele firm i użytkowników myśli: „Mamy MFA, więc jesteśmy bezpieczni”. Problem w tym, że MFA to tylko jedna warstwa ochrony. Jeśli inne warstwy są słabe – jak słabe hasła, brak monitoringu czy brak segmentacji sieci – to MFA też może nie wystarczyć.
Jak tego uniknąć?
- Nie polegaj wyłącznie na MFA. Wzmacniaj inne aspekty bezpieczeństwa, takie jak zarządzanie dostępami, monitorowanie, regularne audyty, itp.
- MFA powinno być częścią większej strategii zero trust. Nie ufaj nikomu i niczemu domyślnie, nawet jeśli korzysta z MFA.
Co dalej?
Jeśli zastanawiasz się, jak wdrożyć bardziej bezpieczne rozwiązania MFA, albo jak uniknąć tych typowych błędów, to koniecznie dołącz do naszego webinaru! Tam opowiemy więcej o tym, jak unikać SIM swappów, phishingu i jak w pełni wykorzystać MFA w firmie.
Zarejestruj się teraz na webinar i bądź na bieżąco z najnowszymi trendami w MFA!
