Новости Включили FIDO2 для защиты — облегчили работу хакерам: парадокс современной безопасности

[NewsMaker]

Многофакторка в деле. Один фактор — ты, второй — твоя наивность.

---

---

Киберпреступники из группы PoisonSeed научились обходить Для просмотра ссылки Войди или Зарегистрируйся , не взламывая саму технологию, а хитро используя одну из её легальных функций — вход с другого устройства. Благодаря этому приёму злоумышленники добиваются того, чтобы жертвы сами подтверждали доступ, думая, что авторизуются в корпоративной системе.

Для просмотра ссылки Войди или Зарегистрируйся Expel, в этой фишинговой кампании атакующие создают фальшивые страницы входа, маскируясь под корпоративные порталы Для просмотра ссылки Войди или Зарегистрируйся или Okta. Когда пользователь вводит логин и пароль, система атакующего в реальном времени авторизуется на настоящем сайте от имени жертвы. Следующим шагом должно быть подтверждение входа с помощью FIDO2-ключа, но вместо этого задействуется функция кросс-устройственного входа.

Эта функция позволяет подтвердить вход на одном устройстве с помощью другого — например, с телефона, не подключая физически ключ. Запрос передаётся через Bluetooth или в виде QR-кода. Именно Для просмотра ссылки Войди или Зарегистрируйся . Фальшивый портал показывает сгенерированный настоящим сайтом код жертве. Та, ничего не подозревая, сканирует его с телефона, тем самым одобряя вход, запущенный злоумышленником.

Таким образом, защита с физическим ключом фактически отключается. Хотя сама система FIDO2 не скомпрометирована, её архитектурные особенности позволяют использовать законную функцию как средство обхода.

Специалисты советуют ограничивать географию возможных входов, внимательно отслеживать регистрацию новых ключей и по возможности требовать Bluetooth-аутентификацию при входе с другого устройства — это снижает шансы на успешную атаку. В одном из зафиксированных случаев злоумышленник даже зарегистрировал собственный ключ FIDO после сброса пароля и получил полный доступ без участия жертвы.

Этот случай снова показывает, что даже самые продвинутые технологии защиты можно обойти не техническими средствами, а Для просмотра ссылки Войди или Зарегистрируйся и точным расчётом поведения пользователя. Как отмечают эксперты в области кибербезопасности, Для просмотра ссылки Войди или Зарегистрируйся хороша, но недостаточна для полной защиты от современных атак.