CẢNH BÁO SOCIAL ENGINEERING

MFA Prompt Bombing: Tại sao xác thực hai yếu tố không thể cứu bạn?

Xác thực đa yếu tố (MFA) được thiết kế để lấp đầy lỗ hổng bảo mật danh tính. Tuy nhiên, tin tặc đã nhận ra rằng chúng không cần đánh cắp yếu tố thứ hai — chúng chỉ cần lừa người dùng tự tay dâng hiến nó thông qua kỹ thuật 'dội bom' thông báo (Prompt Bombing).

Cơ chế hoạt động của MFA Prompt Bombing

Cuộc tấn công này dựa trên sự mệt mỏi và chủ quan của con người thay vì lỗ hổng kỹ thuật phần mềm. Để thực hiện, kẻ tấn công cần 03 yếu tố then chốt:

1. Thông tin đăng nhập

Tài khoản và mật khẩu hợp lệ thường được thu thập từ các vụ rò rỉ dữ liệu trên Dark Web.

2. Cổng Push-based MFA

Các hệ thống như VPN, Microsoft 365, Okta hoặc Duo sử dụng phương thức gửi thông báo đẩy về điện thoại.

3. Sự mệt mỏi của nạn nhân

Kẻ tấn công liên tục kích hoạt yêu cầu đăng nhập để làm phiền hoặc đánh lừa người dùng nhấn nút xác nhận.

Bài học đắt giá từ vụ tấn công Cisco

Vào năm 2022, gã khổng lồ công nghệ Cisco đã trở thành nạn nhân của Prompt Bombing. Tin tặc chiếm được mật khẩu VPN của một nhân viên, sau đó liên tục gửi thông báo xác thực đến điện thoại của họ. Khi nhân viên không phản ứng, kẻ tấn công đã thực hiện các cuộc gọi giả danh hỗ trợ kỹ thuật (Vishing) để thuyết phục nạn nhân phê duyệt yêu cầu. Kết quả là tin tặc đã xâm nhập thành công, leo thang đặc quyền và đánh cắp 2.8GB dữ liệu.

03 Chiến lược phòng vệ cho tổ chức

Sử dụng MFA kháng Phishing: Thay thế thông báo đẩy bằng khóa bảo mật FIDO2, token phần cứng (YubiKey) hoặc yêu cầu khớp mã số (Number Matching).

Ngăn chặn mật khẩu bị lộ: Quét Active Directory liên tục để phát hiện mật khẩu trùng khớp với cơ sở dữ liệu bị rò rỉ và ép buộc thay đổi ngay lập tức.

Chính sách truy cập có điều kiện: Thiết lập hệ thống dựa trên tín hiệu rủi ro như vị trí địa lý lạ, thiết bị không tin cậy để chặn yêu cầu trước khi nó đến điện thoại người dùng.

HÀNH ĐỘNG KHẨN CẤP TỪ CHUYÊN GIA TMGS

Rà soát lại toàn bộ hệ thống xác thực từ xa (VPN, Cloud Apps).
Đào tạo nhân viên nhận diện các cuộc gọi mạo danh hỗ trợ CNTT.
Triển khai giải pháp giám sát mật khẩu Active Directory theo thời gian thực.
Vô hiệu hóa phương thức Push MFA đơn thuần cho các tài khoản đặc quyền.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Tấn công MFA Prompt Bombing: Khi lớp bảo mật thứ hai trở thành điểm yếu