MFA fatigue i push bombing: gdy komunikat o zatwierdzeniu staje się atakiem
Uwierzytelnianie wieloskładnikowe działa najlepiej, gdy drugi składnik wymaga czegoś świadomego. Push z prośbą o zatwierdzenie wymaga znacznie mniej: jednego stuknięcia. Ataki typu MFA fatigue — zwane też push bombing — wykorzystują właśnie tę lukę. Atakujący, który ma już ważne hasło, wielokrotnie inicjuje próby logowania, zalewając telefon ofiary prośbami o zatwierdzenie, aż jedna zostanie przyjęta: odruchowo, ze złości albo w przekonaniu, że zatwierdzenie w końcu uśmierzy powiadomienia.
Jak przebiega atak push bombing
Schemat powtarza się we wszystkich udokumentowanych przypadkach. Atakujący zaczyna od skradzionych gdzie indziej danych logowania — sprzedawane hurtowo logi infostealerów to częste źródło — i sprawdza, czy hasło jeszcze działa. Potem wielokrotnie próbuje się logować, generując powiadomienia push na zarejestrowanym urządzeniu ofiary. Każdy komunikat wygląda identycznie jak prawdziwy, a lata niewinnych codziennych zatwierdzeń nauczyły wielu użytkowników zatwierdzania prawie bezmyślnego. Kampanie często dodają drugą warstwę: telefon lub wiadomość od kogoś, kto podaje się za wsparcie IT, z poleceniem przyjęcia komunikatów, żeby przestały. Dla użytkownika to mylące z założenia. Komunikat udaje, jakby to użytkownik rozpoczął logowanie, ale nic w powiadomieniu nie dowodzi, kto je wywołał. W teorii komunikat to kontrola bezpieczeństwa; w praktyce to wiadomość na ekranie, którą każdy posiadacz hasła może wygenerować — i generować dalej — aż zmęczenie zrobi resztę. Traktowanie takiego komunikatu jako niezaufanego wejścia to dokładnie ta zmiana myślenia, którą te ataki omijają.Uber, wrzesień 2022: podręcznikowy przypadek
Najczęściej cytowanym przykładem pozostaje włamanie do Ubera we wrześniu 2022 roku. Jak donosił TechCrunch, Uber przypisał wtargnięcie hakerowi wiązanemu z Lapsus$ i podał, że firmowe hasło zewnętrznego kontrahenta mogło zostać kupione na darknetowym rynku — według doniesień z logów infostealera RedLine. Samo hasło nie wystarczyło, bo konto wymagało drugiego składnika. Atakujący generował komunikaty push przez ponad godzinę, a potem skontaktował się z kontrahentem przez WhatsApp, podając się za IT Ubera, i powiedział, że powiadomienia ustąpią, gdy je przyjmie. Wynik atakujący streścił potem TechCrunchowi jednym zdaniem:And well, he accepted and I added my device.Z tym zatwierdzeniem atakujący zarejestrował własne urządzenie do MFA i wszedł do sieci wewnętrznej Ubera przez VPN. Jak udokumentował BleepingComputer, dostęp szybko się rozszerzył: na Slacku Ubera pojawiła się wiadomość ogłaszająca włamanie, a atakujący dotarł do konsoli chmurowych, domeny Windows i ticketów HackerOne firmy, skąd według doniesień pobrał prywatne raporty o podatnościach, zanim dostęp ucięto. W udziale sieciowym skrypt PowerShell ujawniał dane administratora platformy uprzywilejowanego dostępu Ubera. TechCrunch zauważył, że number matching według doniesień nie był włączony tam, gdzie miał znaczenie.
Cisco: ta sama dźwignia, inaczej użyta
Zespół reagowania na incydenty Cisco, Talos, jeszcze w tym samym roku udokumentował równoległy przypadek. 24 maja 2022 Cisco dowiedziało się o kompromitacji, która zaczęła się od prywatnego konta Google pracownika, gdzie synchronizowały się firmowe dane logowania zapisane w Chrome. Atakujący łączył rozmowy vishingowe w roli zaufanej organizacji wsparcia z powtarzanymi żądaniami push MFA, aż jedno zostało przyjęte, dając dostęp przez VPN. Talos oceniła z umiarkowaną do wysokiej pewnością, że sprawcą był broker dostępu początkowego związany z UNC2447, Lapsus$ i operatorami ransomware Yanluowang, i opisała aktywność jako przedransomware: najpierw dostęp, potem monetyzacja. Dwa incydenty, te same drzwi: komunikat push, zatwierdzony pod presją.Number matching i drabina mitygacji
Mitygacje są dobrze rozumiane. Wytyczne CISA są jasne: "MFA odporna na phishing to standard, do którego powinni dążyć wszyscy liderzy branży, ale jakiekolwiek MFA jest lepsze niż żadne". Agencja wskazuje FIDO/WebAuthn jako jedyną szeroko dostępną opcję odporną na phishing, a tam, gdzie to niewykonalne, zaleca "MFA z number matching, by blokować mobilne bombardowanie push". Microsoft uczynił number matching standardem dla powiadomień push Authenticatora: ekran logowania pokazuje liczbę, a zatwierdzenie wymaga wpisania jej w aplikacji. Komunikat bez kontekstu nie ma liczby do wpisania — i właśnie dlatego ta technika pokonuje zatwierdzanie w ciemno.- Traktuj każdy nieoczekiwany komunikat jako niezaufane wejście: odrzuć, zgłoś i zmień hasło, które testował.
- Wybieraj składniki wymagające świadomego działania — kody z aplikacji albo klucze sprzętowe — zamiast zwykłego pusha zatwierdzanego jednym dotknięciem.
- Nigdy nie synchronizuj służbowych ani cennych danych logowania do osobistego profilu przeglądarki; atakujący u Cisco wszedł dokładnie tą drogą.
- Zachowaj sprzętowe klucze bezpieczeństwa dla najważniejszych kont; według TechCrunch to one obroniły Cloudflare przy podobnym ataku.