MFA fatigue та push bombing: коли запит на підтвердження стає атакою
Багатофакторна автентифікація працює найкраще, коли другий фактор вимагає усвідомленої дії. Push-запит на підтвердження вимагає значно меншого: одного дотику. Атаки типу MFA fatigue — їх ще називають push bombing — використовують саме цю прогалину. Зловмисник, який уже володіє діючим паролем, раз у раз ініціює спроби входу, завалюючи телефон цілі push-запитами, доки один із них не підтвердять — рефлекторно, з роздратування або з вірою, що схвалення нарешті зупинить потік.
Як розгортається атака push bombing
Схема однакова в усіх задокументованих випадках. Зловмисник починає з даних для входу, викрадених деінде — масово продавані логи інфостилерів часте джерело — і перевіряє, що пароль ще діє. Далі він повторює спроби входу, генеруючи push-повідомлення на зареєстрованому пристрої жертви. Кожен запит виглядає точнісінько як легітимний, а роки нешкідливих щоденних підтверджень привчили багатьох користувачів тиснути «схвалити» майже не думаючи. Кампанії часто додають другий шар: дзвінок або повідомлення від «ІТ-підтримки», що закликає прийняти запити, щоб ті припинилися. Для користувача це дезорієнтує за задумом. Push-запит видає себе так, ніби вхід ініціював сам користувач, але нічого в повідомленні не доводить, хто це зробив. У теорії запит — елемент захисту; на практиці це повідомлення на вашому екрані, яке будь-який володар вашого пароля може викликати знову і знову, доки втома не зробить решту. Ставитися до такого запиту як до недовіреного вводу — саме той зсув мислення, який ці атаки обходять.Uber, вересень 2022: хрестоматійний випадок
Найцитованіший приклад — злам Uber у вересні 2022 року. Як повідомляв TechCrunch, Uber пов'язав вторгнення з хакером, якого відносять до Lapsus$, і заявив, що корпоративний пароль зовнішнього підрядника, ймовірно, був куплений на даркнет-маркеті — за повідомленнями, з логів інфостилера RedLine. Самого пароля не вистачило: акаунт вимагав другий фактор. Зловмисник понад годину генерував push-запити, потім вийшов на підрядника у WhatsApp, видаючи себе за ІТ Uber, і сказав, що повідомлення припиняться, щойно він їх підтвердить. Підсумок зловмисник описав TechCrunch однією фразою:And well, he accepted and I added my device.Із цим схваленням зловмисник зареєстрував власний пристрій для MFA і потрапив у внутрішню мережу Uber через VPN. Як задокументував BleepingComputer, доступ швидко розширився: у Slack Uber з'явилося повідомлення про злам, а зловмисник дістався хмарних консолей, домену Windows і тикетів HackerOne компанії, звідки, за повідомленнями, завантажив приватні звіти про вразливості, перш ніж доступ відрізали. У мережевій папці PowerShell-скрипт розкрив адмінські облікові дані платформи привілейованого доступу Uber. TechCrunch зазначав, що number matching, за повідомленнями, там, де це було важливо, не був увімкнений.
Cisco: той самий важіль, інше застосування
Команда реагування на інциденти Cisco, Talos, того самого року задокументувала паралельний випадок. 24 травня 2022 року Cisco дізналася про компрометацію, що почалася з особистого Google-акаунта співробітника, куди синхронізувалися корпоративні облікові дані з Chrome. Зловмисник поєднував голосовий вішинг від імені «довіреної служби підтримки» з повторюваними MFA-push-запитами, доки один не підтвердили, отримавши доступ через VPN. Talos із помірною та високою впевненістю пов'язала атаку з брокером первинного доступу, причетним до UNC2447, Lapsus$ і операторів шифрувальника Yanluowang, і описала активність як до-рансомверну: спочатку доступ, потім монетизація. Два інциденти, одні двері: push-запит, підтверджений під тиском.Number matching і драбина засобів захисту
Засоби захисту добре вивчені. Настанови CISA прямі: «фішинг-стійка MFA — стандарт, до якого мають прагнути всі лідери галузі, але будь-яка MFA краща, ніж ніякої». Відомство називає FIDO/WebAuthn єдиним широко доступним фішинг-стійким варіантом і, де це неможливо, радить «MFA з number matching, щоб блокувати push-бомбардування та SMS-атаки». Microsoft зробила number matching стандартним для push-повідомлень Authenticator: на екрані входу показується число, і для підтвердження його треба ввести в застосунок. У запиту поза контекстом немає числа для введення — саме тому метод позбавляє бездумного схвалення сенсу.- Сприймайте кожен неочікуваний запит як недовірене введення: відхиляйте, повідомляйте і змінюйте пароль, який він перевіряв.
- Надавайте перевагу факторам, що вимагають усвідомленої дії, — кодам автентифікатора чи апаратним ключам — замість простого push-підтвердження одним дотиком.
- Ніколи не синхронізуйте робочі чи цінні облікові дані в особистий профіль браузера; саме через це зайшов зловмисник у випадку Cisco.
- Бережіть апаратні ключі для найважливіших акаунтів; як повідомляв TechCrunch, саме вони виручили Cloudflare під час схожої атаки.