A MFA resolve a ameaça de invasão de contas?

Jim Downey

Para os criminosos que tentam cometer fraudes de tomada de conta por meio do preenchimento de credenciais, a autenticação multifator (MFA) cria obstáculos. No entanto, os invasores descobriram maneiras de contorná-la, o que significa que, por si só, a MFA não elimina a ameaça de tomada de conta. As empresas precisam adotar medidas adicionais para reforçar a segurança da MFA, incluindo a mitigação de bots e o monitoramento de riscos contextuais.

Apesar de suas vulnerabilidades, a autenticação multifator (MFA) representa um avanço significativo, pois a autenticação baseada apenas em senha claramente fracassou. Nós, seres humanos, simplesmente não conseguimos memorizar longas sequências de caracteres e, por isso, recorremos a atalhos, escolhendo senhas simples e previsíveis e reutilizando-as em diferentes aplicativos, práticas que resultaram em muitas violações de segurança.

No entanto, com a ineficácia das senhas e a adoção da MFA, observamos um aumento nos ataques contra a MFA, tais como:

Proxies de phishing em tempo real

Em um ataque de proxy de phishing em tempo real (RTPP), os fraudadores usam mensagens de phishing para induzir os usuários a visitar um site controlado pelo invasor que se parece com um site confiável, levando-os a inserir suas credenciais e aprovar a solicitação de autenticação de segundo fator, seja por mensagem SMS ou notificação push. O RTPP encaminha as credenciais ao aplicativo de destino e obtém acesso. Para ver uma demonstração do ataque, assista a este vídeo do hacker e consultor de segurança Kevin Mitnick. Para saber mais sobre o crescimento dos proxies de phishing em tempo real, consulte o Relatório sobre phishing e fraude da F5 Labs.

Bombardeio de MFA

Em ataques de bombardeio de MFA, o invasor engana o alvo para que forneça seu código de autenticação, enviando várias solicitações fraudulentas desse código. Essa técnica funciona melhor contra aplicativos autenticadores que usam notificações push porque o usuário pode interromper facilmente a enxurrada de solicitações com o simples toque de um botão. Às vezes, os invasores combinam o bombardeio de MFA com engenharia social para induzir os usuários a aceitar a notificação push e conceder acesso.

Falsificação biométrica

Os invasores já conseguiram até mesmo burlar a autenticação biométrica. Afinal, deixamos nossas impressões digitais por toda parte, em praticamente todas as superfícies lisas que tocamos, onde elas podem ser coletadas e reproduzidas usando desde uma impressora 3D até ingredientes de balas de goma. Pesquisadores de segurança também já demonstraram como falsificar o reconhecimento facial e de voz, bem como a leitura da íris. Embora os fornecedores tenham desenvolvido técnicas antifalsificação, como verificações de vivacidade para detectar tentativas de burlar a autenticação, qualquer dispositivo biométrico pode se tornar vulnerável à medida que os invasores aperfeiçoam suas técnicas.

Troca de SIM

Troca de SIM envolve criminosos que exploram a possibilidade oferecida pelas operadoras de transferir um número de telefone para outro dispositivo. O criminoso coleta informações pessoais da vítima e usa engenharia social para convencer um atendente do suporte a transferir o número de telefone da vítima para o cartão SIM do criminoso. Ao assumir o controle do serviço de telefonia da vítima, o criminoso recebe as mensagens de texto destinadas ao usuário, o que lhe permite interceptar senhas de uso único (OTPs) e contornar a autenticação multifator (MFA).

Reforçando a segurança da MFA

Como a MFA representa uma melhoria significativa em relação à autenticação baseada apenas em senha, ela veio para ficar. Portanto, os profissionais de cibersegurança precisam lidar com suas vulnerabilidades.

Uma boa maneira de começar é mitigar bots. Explorando a reutilização de senhas, os invasores usam bots para testar credenciais roubadas em páginas de login, uma técnica definida pela OWASP como credential stuffing, que permite superar o primeiro fator da MFA. Os invasores também usam bots em ataques RTPP para encaminhar OTPs ao site-alvo antes que expirem. Da mesma forma, o bombardeio de MFA é um ataque automatizado que depende de bots. Com uma solução eficaz de gerenciamento de bots, uma equipe de segurança pode eliminar uma ferramenta essencial da qual os invasores dependem para ampliar as técnicas de evasão da MFA.

Outra forma de mitigar as vulnerabilidades da MFA é considerar o risco contextual. O risco contextual pode ser determinado pelo endereço IP, provedor de serviços de Internet (ISP), localização, horário, dispositivo, funcionalidade acessada e comportamento do usuário. Todos esses fatores podem ser usados para calcular uma pontuação de risco à medida que o usuário navega por um aplicativo. Quanto maior a pontuação, mais rigorosos serão os requisitos de autenticação, o que pode resultar na desativação da conta.

Próximos passos

Certamente veremos mais declarações sobre o fim das senhas, além de mais alarde de que novas técnicas de MFA tornarão a autenticação segura de uma vez por todas. No entanto, ainda haverá maneiras de invasores determinados contornarem novas implementações, o que exigirá que você continue analisando e mitigando as vulnerabilidades da MFA. Para uma análise mais aprofundada de por que a MFA é apenas o primeiro passo para impedir a invasão de contas, consulte o novo white paper da F5. Ao firmar uma parceria com a F5, você pode proteger a MFA e, ao mesmo tempo, otimizar a experiência do cliente. Saiba mais sobre os serviços do F5 Distributed Cloud e cadastre-se para falar com nossa equipe.

Sobre o autor

Jim Downey

Mais publicações de Jim Downey