MFA fatigue и push bombing: когда окно подтверждения становится атакой
Многофакторная аутентификация работает лучше всего, когда второй фактор требует осознанного действия. Push-запрос на подтверждение требует куда меньшего: одного касания. Атаки типа MFA fatigue — их ещё называют push bombing — используют именно этот зазор. Атакующий, уже владеющий действующим паролем, раз за разом инициирует попытки входа, заваливая телефон цели push-уведомлениями, пока одно из них не подтвердят — по рефлексу, от раздражения или в убеждении, что одобрение наконец остановит поток запросов.
Как проходит атака push bombing
Схема одинакова во всех задокументированных случаях. Атакующий начинает с краденых где-то ещё учётных данных — массово продаваемые логи инфостилеров частый источник — и проверяет, что пароль ещё действует. Затем он повторяет попытки входа, генерируя push-уведомления на зарегистрированном устройстве жертвы. Каждый запрос выглядит в точности как легитимный, а годы безобидных ежедневных подтверждений приучили многих пользователей нажимать «одобрить» почти не думая. Кампании часто добавляют второй слой: звонок или сообщение от «ИТ-поддержки», призывающего принять запросы, чтобы они прекратились. Для пользователя это дезориентирует по замыслу. Push-запрос выглядит так, будто вход инициировал сам пользователь, но ничто в уведомлении не доказывает, кто его вызвал. В теории запрос — элемент защиты; на практике это сообщение на вашем экране, которое любой владелец вашего пароля может вызвать снова и снова, пока усталость не сделает остальное. Относиться к такому запросу как к недоверенному вводу — именно тот сдвиг мышления, который эти атаки обходят.Uber, сентябрь 2022: хрестоматийный случай
Самый цитируемый пример — взлом Uber в сентябре 2022 года. Как сообщал TechCrunch, Uber связал вторжение с хакером, которого относят к Lapsus$, и заявил, что корпоративный пароль внешнего подрядчика, вероятно, был куплен на даркнет-маркете — по сообщениям, из логов инфостилера RedLine. Одного пароля не хватило: аккаунт требовал второй фактор. Атакующий больше часа генерировал push-запросы, затем вышел на подрядчика в WhatsApp, представившись ИТ-службой Uber, и сказал, что уведомления прекратятся, как только он их подтвердит. Итог атакующий описал TechCrunch одной фразой:And well, he accepted and I added my device.С этим одобрением атакующий зарегистрировал собственное устройство для MFA и попал во внутреннюю сеть Uber через VPN. Как задокументировал BleepingComputer, доступ быстро расширился: в Slack Uber появилось сообщение о взломе, атакующий добрался до облачных консолей, домена Windows и тикетов HackerOne компании, откуда, по сообщениям, скачал приватные отчёты об уязвимостях, прежде чем доступ отрезали. В сетевой папке PowerShell-скрипт раскрыл админ-учётные данные платформы контроля привилегированного доступа Uber. TechCrunch отмечал, что number matching, судя по сообщениям, там, где это было важно, включён не был.
Cisco: тот же рычаг, иное применение
Команда реагирования на инциденты Cisco, Talos, в том же году задокументировала параллельный случай. 24 мая 2022 года Cisco узнала о компрометации, начавшейся с личного Google-аккаунта сотрудника, куда синхронизировались корпоративные учётные данные из Chrome. Атакующий сочетал голосовой вишинг от имени «доверенной службы поддержки» с повторяющимися MFA-push-запросами, пока один не подтвердили, получив доступ по VPN. Talos с умеренной и высокой уверенностью связала атаку с брокером первоначального доступа, причастным к UNC2447, Lapsus$ и операторам шифровальщика Yanluowang, и описала активность как до-рансомверную: сначала доступ, затем монетизация. Два инцидента, одна дверь: push-запрос, подтверждённый под давлением.Number matching и лестница средств защиты
Средства защиты хорошо изучены. Руководство CISA прямо говорит: «фишинг-устойчивая MFA — стандарт, к которому должны стремиться все лидеры отрасли, но любая MFA лучше, чем никакой». Ведомство называет FIDO/WebAuthn единственным широко доступным фишинг-устойчивым вариантом и, где это невозможно, рекомендует «MFA с number matching, чтобы блокировать push-бомбардировку и SMS-атаки». Microsoft сделала number matching стандартным для push-уведомлений Authenticator: на экране входа отображается число, и для подтверждения его нужно ввести в приложении. У запроса вне контекста нет числа для ввода — именно поэтому метод сводит на нет бездумное одобрение.- Относитесь к каждому неожиданному запросу как к недоверенному вводу: отклоняйте, сообщайте и меняйте пароль, который он проверял.
- Предпочитайте факторы, требующие осознанного действия, — коды аутентификатора или аппаратные ключи — простому push-подтверждению одним касанием.
- Никогда не синхронизируйте рабочие или ценные учётные данные в личный профиль браузера; именно через это вошёл атакующий в случае Cisco.
- Берегите аппаратные ключи для самых важных аккаунтов; как сообщал TechCrunch, именно они выручили Cloudflare при похожей атаке.