Atacuri Phishing care ocolesc MFA: Ce trebuie să știe firmele

Autentificarea multifactorială (MFA) a devenit în ultimii ani standardul de aur pentru protejarea conturilor de business. Totuși, în discuțiile pe care le avem cu antreprenorii, observăm adesea o încredere oarbă în acest mecanism: „Dacă am pus codul primit pe SMS sau în aplicație, înseamnă că sunt 100% în siguranță”. Din păcate, realitatea din teren ne contrazice constant. Infractorii cibernetici își îmbunătățesc uneltele mai repede decât reușesc multe companii să își actualizeze politicile de securitate. La fel ca în multe alte situații gestionate de echipa Activ.NET pentru companiile din Arad, diferența dintre o zi de lucru normală și un dezastru informatic stă în detaliile tehnice pe care mulți le ignoră.

#Ce s-a intamplat

Cercetătorii în securitate cibernetică au descoperit recent o platformă complexă de tip phishing-as-a-service, denumită BigBear 2.0, care a reușit să compromită sute de organizații la nivel global. Spre deosebire de atacurile clasice de phishing, care doar colectează parole simple, această unealtă folosește un cadru de tip adversary-in-the-middle bazat pe Evilginx2. Practic, atacatorii plasează un proxy invizibil între victimă și pagina oficială de autentificare Microsoft 365. Astfel, utilizatorul introduce datele corecte și codul MFA cerut, crezând că se loghează în siguranță. În acest timp, sistemul captează nu doar parola, ci și cookie-ul de sesiune autentificat. Odată obținut acest cookie, atacatorul îl poate refolosi pentru a prelua controlul complet asupra contului, sărind practic peste etapa de verificare suplimentară.

#Impact pentru firme

Pentru o companie mică sau mijlocie din România, un astfel de atac poate avea consecințe devastatoare. Odată ce un cont de administrator sau de director este compromis în ecosisteme cloud precum Microsoft 365, atacatorii obțin acces la e-mailuri, documente confidențiale pe OneDrive sau SharePoint și pot lansa atacuri de tip Business Email Compromise (BEC) către parteneri sau clienți. Din experiența noastră pe sisteme reale, recuperarea după un astfel de incident implică costuri mari de expertiză forensică, timp pierdut și, cel mai grav, o pierdere masivă de încredere din partea clienților. Riscul financiar este real, mai ales că multe firme nu au jurnale de audit activate pentru a detecta accesul neautorizat la timp.

#Recomandari concrete

Pentru a reduce drastic riscul ca o astfel de campanie să vă afecteze afacerea, vă recomandăm să implementați imediat următoarele măsuri tehnice:

1. Renunțați la metodele slabe de MFA: Dezactivați metodele bazate pe SMS sau apeluri vocale, care sunt vulnerabile la interceptare. Treceți la autentificarea rezistentă la phishing de tip FIDO2 sau WebAuthn (chei hardware sau passkeys integrate).
2. Configurați politici riguroase de acces condițional (Conditional Access): Limitați accesul la aplicațiile companiei doar de pe dispozitive administrate și asigurate de departamentul de IT, nu de pe orice calculator personal.
3. Rotiți sesiunile și forțați re-autentificarea: Setați politici stricte de expirare a sesiunilor pentru conturile cu privilegii ridicate.

Dacă aveți nevoie de o evaluare completă a securității infrastructurii dumneavoastră, echipa noastră vă poate ajuta cu un audit dedicat și soluții de prevenție adaptate. Vă recomandăm să apelați cu încredere la serviciile noastre de Service IT pentru firme pentru a asigura continuitatea afacerii fără incidente neplăcute.

#Concluziile noastre

Tehnologia evoluează, iar metodele folosite de hackeri devin din ce în ce mai sofisticate, transformând phishingul dintr-o simplă escrocherie într-un atac tehnic avansat. Securitatea nu este un buton pe care îl apeși o singură dată și ai terminat, ci un proces continuu de monitorizare și adaptare. La Activ.NET, ne propunem să ținem pasul cu aceste amenințări pentru ca voi să vă puteți concentra exclusiv pe dezvoltarea businessului vostru, având certitudinea că datele sunt în siguranță.

Inspirat din: BleepingComputer