Почему только MFA не защитит вас в эпоху состязательного ИИ

Но хакеры хитры и коварны и постоянно придумывают новые способы прорваться через крепость MFA.Современные предприятия нуждаются в еще более надежной защите - хотя эксперты утверждают, что MFA по-прежнему имеет решающее значение, он должен быть лишь небольшой частью процесса аутентификации.

«Традиционные методы MFA, такие как SMS и push-уведомления, оказались уязвимы для различных атак, что делает их почти такими же уязвимыми, как и пароли», - говорит Фрэнк Диксон, вице-президент группы по безопасности и доверию в IDC. «Растущая распространенность сложных угроз требует перехода к более надежным методам аутентификации».

Почему MFA недостаточно?

Когда-то испытанная и надежная практика использования паролей теперь кажется причудливой.

Независимо от того, из каких цифр, букв, специальных символов или чисел они состояли, их стало так легко украсть, поскольку пользователи были беспечны, ленивы, доверчивы или слишком доверчивы.

Традиционные пароли - это просто общие секреты, не намного более сложные, чем римский часовой, спрашивающий секретное кодовое слово тысячи лет назад («Стой, кто идет туда? Какой код?»)», - говорит Лу Стейнберг, основатель и управляющий партнер CTM insights.

Мэтт Колфилд (Matt Caulfield), вице-президент по продуктам для защиты идентификационных данных в Cisco, сказал VentureBeat: «Как только эти данные были украдены, игра была окончена».

MFA стал более популярным в середине 1990-х - 2000-х годов, поскольку все больше предприятий выходили в Интернет, и это казалось решением проблемы традиционных паролей. Но в условиях цифровой трансформации, перехода к облачным технологиям и внедрения десятков и даже сотен приложений SaaS предприятия стали уязвимы как никогда. Одна из самых больших угроз для MFA - социальная инженерия или более персонализированные психологические тактики. Поскольку люди так много рассказывают о себе в Интернете - через социальные сети или LinkedIn, - злоумышленники могут свободно изучать любого человека в мире.

Благодаря все более сложным инструментам искусственного интеллекта скрытные участники угроз могут разрабатывать кампании «в массовом масштабе», - говорит Колфилд. Сначала они используют фишинг, чтобы получить доступ к основным учетным данным пользователя, а затем с помощью ИИ обманывают его, чтобы заставить поделиться вторыми учетными данными или предпринять действия, которые позволят злоумышленникам войти в его аккаунт.

Или же злоумышленники спамят о вторичной MFA SMS или push-уведомлениями, вызывая «усталость от MFA», когда пользователь в конце концов сдается и нажимает «разрешить». Угрожающие субъекты также подготавливают жертв, создавая впечатление срочности ситуации, или обманывают их, заставляя думать, что они получают законные сообщения от службы технической поддержки.

При атаках типа «человек посередине» злоумышленник может перехватить код во время его передачи между пользователем и провайдером. Угрожающие субъекты могут также развернуть инструменты, которые зеркально отображают страницы входа в систему, обманывая пользователей, заставляя их предоставлять и пароли, и коды MFA.