6 Möglichkeiten, wie Hacker MFA + Präventionsstrategien umgehen können

Unternehmen müssen wirksame Maßnahmen zum Schutz von Konten ergreifen oder sich einem erhöhten Risiko von Datenschutzverletzungen und anderen schwerwiegenden Cyberangriffen wie Ransomware-Injektionen aussetzen. Die Multi-Faktor-Authentifizierung (MFA) ist ein wichtiger Bestandteil des Cybersicherheitsprogramms eines jeden Unternehmens.

MFA fügt eine zusätzliche Sicherheitsebene hinzu und verhindert, dass Hacker unbefugten Zugriff auf sensible Daten erhalten. Während MFA ein wirksamer Verteidigungsmechanismus ist, werden Cyberkriminelle in ihren Angriffsmethoden immer ausgefeilter.

Es gibt viele Möglichkeiten, wie Hacker MFA umgehen können, um verheerende Cyberangriffe durchzuführen - und diese Liste wird immer länger. In diesem Artikel wird beschrieben, wie Hacker MFA ausnutzen können und wie Sie die vertraulichen Daten Ihres Unternehmens vor solchen Angriffen schützen können.

Was ist Multi-Faktor-Authentifizierung?

Die Multi-Faktor-Authentifizierung (MFA) ist eine Methode zum Schutz von Konten, bei der Benutzer zwei oder mehr verschiedene Authentifizierungsfaktoren angeben müssen, um auf ein Konto oder ein anderes internes System zugreifen zu können. MFA ist sicherer als die herkömmliche Ein-Faktor-Authentifizierung (SFA), bei der nur ein Satz Anmeldeinformationen erforderlich sind, in der Regel ein Benutzername und ein Passwort. Die Zwei-Faktor-Authentifizierung (2FA) ist eine Teilmenge der MFA, bei der genau zwei Authentifizierungsfaktoren erforderlich sind.

Erfahren Sie mehr über den Unterschied zwischen 2FA und MFA.

Um zu verstehen, wie MFA funktioniert, ist ein breiteres Verständnis des Konzepts der Authentifizierung erforderlich. In einem Identity Access Management (IAM)-Framework sind Authentifizierungsfaktoren Sicherheitsmechanismen, die verwendet werden, um nachzuweisen, dass ein Benutzer derjenige ist, für den er sich ausgibt, bevor ihm der Zugriff auf privilegierte Informationen gestattet wird.

Es gibt drei Arten von Authentifizierungsfaktoren, darunter:

1. Wissensfaktor (etwas, das Sie wissen): z. B. ein Einmalpasswort (OTP), eine persönliche Identifikationsnummer (PIN)/Passcode, eine Antwort auf eine Sicherheitsfrage.

2. Besitzfaktor (Etwas, das Sie haben): z. B. ein Anhänger, ein Hardware-Token, ein Sicherheitsschlüssel, ein Endpunkt, z. B. ein Mobiltelefon, der Push-Benachrichtigungen oder Textnachrichten empfangen kann.

3. Inhärenzfaktor (Etwas, das Sie sind): z. B. biometrische Daten wie Fingerabdrücke, Gesichtserkennung, Netzhautscan, Spracherkennung.

MFA erfordert, dass Benutzer mindestens zwei dieser Faktoren nachweisen, um ihre Identität zu überprüfen.

Erfahren Sie mehr über die Funktionsweise von MFA.

Wie schützt MFA Organisationen?

Die Authentifizierung stellt eine zusätzliche Barriere zwischen Cyberkriminellen und sensiblen Daten dar. Durch die Ein-Faktor-Authentifizierung (SFA) können Bedrohungsakteure Angriffsvektoren wie durchgesickerte oder wiederverwendete Passwörter leicht ausnutzen, um sich in Unternehmenskonten zu hacken.

Der Data Breach Investigation Report 2022 von Verizon ergab beispielsweise, dass 43 % der gemeldeten Angriffe auf geschäftliche E-Mail-Kompromittierungen die Verwendung gestohlener Anmeldeinformationen gegen das Opferunternehmen beinhalteten. Selbst wenn ein Hacker ein Passwort stiehlt, muss er bei MFA mindestens zwei zusätzliche Authentifizierungsfaktoren angeben, bevor er Zugriff erhält - eine Anforderung, die er mit nicht so hoher Wahrscheinlichkeit erfüllen wird.

Während MFA Amateur-Cyberkriminelle davon abhalten kann, weitere Kompromittierungsversuche zu unternehmen, umgehen geschicktere Hacker die MFA-Anforderungen mit verschiedenen Taktiken. Unternehmen sollten sich dieser verschiedenen Methoden bewusst sein, um die effektivste Verteidigung gegen Angriffe dieser Art zu bieten.

Wie Cyberkriminelle die Multi-Faktor-Authentifizierung umgehen können

Im Folgenden finden Sie sechs gängige Methoden, mit denen Cyberkriminelle MFA umgehen können. Hacker können diese Methoden auch nutzen, um die Zwei-Faktor-Authentifizierung zu umgehen.

1. Soziales Engineering

Beim Social Engineering wird ein Opfer dazu verleitet, privilegierte Informationen preiszugeben, die bei einem Cyberangriff genutzt werden können. Diese Angriffsmethode wird am häufigsten verwendet, wenn der Angreifer bereits den Benutzernamen und das Passwort eines Opfers kompromittiert hat und zusätzliche Authentifizierungsfaktoren umgehen muss.

Erfahren Sie mehr über Social-Engineering-Techniken.

Phishing ist eine der häufigsten Social-Engineering-Taktiken, um Authentifizierungsfaktoren zu erhalten. Bei einem Phishing-Angriff gibt sich ein Cyberkrimineller als seriöse Quelle aus. Es verleitet einen E-Mail-Empfänger dazu, vertrauliche Informationen preiszugeben oder auf einen von Malware befallenen Link in der E-Mail zu klicken, und trägt so unwissentlich dazu bei, sein Konto zu kompromittieren.

Zum Beispiel:

• Ein Cyberkrimineller erhält die Anmeldedaten eines Mitarbeiters für den SaaS-Anbieter eines Unternehmens und versucht, sich bei dem Dienst anzumelden, woraufhin eine SMS-Verifizierung erfolgt.
• Der Hacker gibt sich als Lieferant aus und sendet eine E-Mail an den Mitarbeiter, in der er den Verifizierungscode für die Kontobestätigung anfordert.
• Der Mitarbeiter fällt auf den Betrug herein und antwortet auf die E-Mail mit dem SMS-Code, wodurch der Hacker sein Konto kompromittieren kann.

Wenn die direkte Umgehung der MFA keine Option ist, könnte der Cyberkriminelle auch eine Phishing-E-Mail senden, um persönliche Informationen über den Mitarbeiter zu erhalten, die für die telefonische Verifizierung verwendet werden könnten. Zum Beispiel:

• Der Hacker bringt den Mitarbeiter dazu, grundlegende persönliche Daten per E-Mail zu versenden.
• Der Hacker ruft den Kundensupport des Dienstanbieters an und behauptet, aus seinem Konto ausgesperrt zu sein.
• Nachdem er einige persönliche Daten überprüft hat, ist der Hacker in der Lage, den Anbieter dazu zu bringen, ihm Zugriff auf das Konto des Mitarbeiters zu gewähren.

Erfahren Sie, wie Sie Phishing erkennen können.

2. Einwilligungs-Phishing

Die offene Autorisierung (OAuth) wird von vielen Anwendungen verwendet, um eingeschränkten Zugriff auf die Kontodaten eines Benutzers anzufordern. Beispielsweise kann eine Drittanbieter-App über OAuth Zugriffsberechtigungen für den Google-Kalender eines Nutzers anfordern, ohne das Passwort des Nutzers oder vollen Zugriff auf sein Google-Konto anzufordern.

Durch eine moderne Angriffsmethode namens Consent Phishing können sich Hacker als legitime OAuth-Anmeldeseiten ausgeben und von einem Benutzer die gewünschte Zugriffsebene anfordern. Wenn dem Hacker diese Berechtigungen erteilt werden, kann er die Notwendigkeit einer MFA-Verifizierung erfolgreich umgehen und möglicherweise eine vollständige Kontoübernahme ermöglichen.

3. Brachiale Gewalt

Hacker führen Brute-Force-Angriffe durch, indem sie verschiedene Passwortkombinationen ausprobieren, bis sie einen Treffer landen. Der Erfolg dieser Angriffe bei der Umgehung von MFA hängt von der Verwendung grundlegender Passwortkombinationen als Authentifizierungsfaktor ab, wie z. B. einer temporären 4-stelligen PIN, die leichter zu knacken ist als eine komplexe alphanumerische Kombination.

Wenn dies erfolgreich ist, hat der Hacker einen Authentifizierungsfaktor kompromittiert, wodurch er der Kompromittierung des Kontos einen Schritt näher kommt.

Erfahren Sie mehr über Brute-Force-Angriffe.

4. Ausnutzung generierter Token

Viele Online-Plattformen verlassen sich auf die Verwendung von Authentifizierungs-Apps wie Microsoft Authenticator und Google Authenticator, um temporäre Token für die Verwendung als Authentifizierungsfaktoren zu generieren.

Als Backup stellen diese Plattformen den Benutzern oft eine Liste mit manuellen Authentifizierungscodes zur Verfügung, um Kontosperrungen zu vermeiden.

Wenn sie ausgedruckt oder an einem ungesicherten digitalen Ort gespeichert wird, könnte der Cyberkriminelle diese Liste durch physischen Diebstahl oder die Ausnutzung schlechter Datensicherheitspraktiken erhalten, um darauf zuzugreifen und das Konto des Opfers zu kompromittieren.

5. Session-Hijacking

Session-Hijacking (oder Cookie-Stealing) tritt auf, wenn ein Cyberkrimineller die Anmeldesitzung eines Benutzers durch einen Man-in-the-Middle-Angriff kompromittiert. Session-Cookies spielen eine wichtige Rolle bei der UX von Webdiensten.

Wenn sich ein Benutzer bei einem Online-Konto anmeldet, enthält das Sitzungscookie die Authentifizierungsdaten des Benutzers und verfolgt seine Sitzungsaktivität. Das Cookie bleibt so lange aktiv, bis der Nutzer die Sitzung beendet, indem er sich ausloggt.

Session-Hijacking ist möglich, wenn ein Webserver Session-Cookies nicht als sicher kennzeichnet. Wenn Benutzer keine Cookies über HTTPS an den Server zurücksenden, können Angreifer das Cookie stehlen und die Sitzung unter Umgehung der MFA kapern.

Erfahren Sie mehr über Session-Hijacking.

6. SIM-Hacking

SIM-Hacking tritt auf, wenn ein Hacker die Telefonnummer eines Opfers kompromittiert, indem er sich unbefugten Zugriff auf seine SIM-Karte verschafft. Zu den gängigen Techniken gehören SIM-Swapping, SIM-Klonen und SIM-Jacking.

Mit der vollen Kontrolle über die Telefonnummer des Opfers kann der Hacker SMS-generierte Einmalpasswörter (OTPs) empfangen und abfangen, um diesen Authentifizierungsfaktor während eines Hacking-Versuchs bereitzustellen.

Erfahren Sie mehr über die Techniken, die zum Hacken von SIM-Karten verwendet werden.

Wie man die MFA stärkt

Mit dem Wissen über die potenziellen Angriffsvektoren, die Cyberkriminelle zur Umgehung von MFA nutzen, kann Ihr Unternehmen eine Abwehr aufbauen, die auf diesen Methoden basiert. Empfohlene Verteidigungstechniken sind unten aufgeführt.

• Vermeiden Sie nach Möglichkeit die Verwendung kurzer, numerischer OTPs und entscheiden Sie sich stattdessen für eine längere alphanumerische Kombination mit Groß- und Kleinbuchstaben, die viel schwieriger zu knacken sind.

• Verwenden Sie die biometrische Authentifizierung als mindestens einen Authentifizierungsfaktor - es ist viel schwieriger, einen Fingerabdruck zu umgehen als einen 4-stelligen Code.

• Wenn Sie komplexe Passwörter erstellen, können Cyberkriminelle einfache Passwörter leicht mit Brute-Force erzwingen.

• Verwenden Sie Passwörter nicht erneut - Cyberkriminelle können einen Satz kompromittierter Anmeldeinformationen verwenden, um andere Konten zu kompromittieren.

• Entscheiden Sie sich für einmalige zeitbasierte Passwörter (TOTP), um die Zeit zu reduzieren, die Hacker nach einem erfolgreichen Phishing-Versuch für den Brute-Force-Zugriff oder die Anmeldung benötigen.

• Vermeiden Sie nach Möglichkeit SMS-basierte Authentifizierungsfaktoren. SMS-OTPs sind einer der am leichtesten kompromittierbaren 2FA-Codes.

• Alle Anbieter sollten über einen Server verfügen, der die Anzahl der erfolglosen MFA-Anmeldeversuche eines Benutzers einschränkt.

• Führen Sie regelmäßige Schulungen zum Thema Cybersicherheit durch, einschließlich relevanter MFA-Sicherheitsthemen, wie z. B. gängige Social-Engineering-Techniken, die Identifizierung von Phishing-E-Mails und die Erstellung eines sicheren Passworts.

• Beschränken Sie die Nutzung nicht sanktionierter Apps. Es ist weitaus wahrscheinlicher, dass die IT-Abteilung über Social-Engineering-Versuche auf Plattformen, die sie nicht kennt, informiert ist und sie darüber berät

• Überwachen Sie Ihre Angriffsfläche. Cyberkriminelle können externe Schwachstellen, wie z. B. schlechte Netzwerksicherheit, als ersten Schritt bei einem versuchten Kontokompromittierungsversuch ausnutzen. Eine Lösung für das Management von Angriffsflächen kann Schwachstellen, die sich auf die mit dem Internet verbundenen Ressourcen von Ihnen und Ihren Anbietern auswirken, in Echtzeit identifizieren und es Ihnen ermöglichen, sie zu beheben, bevor sie ausgenutzt werden.

Erfahren Sie, wie Software für das Management von Angriffsflächen die Cyberabwehr Ihres Unternehmens verbessern kann.