У звіті Microsoft Digital Defense Report від 5 жовтня 2023 року описано використання OTP-ботів для виманювання одноразових кодів автентифікації. Зловмисники обманним шляхом змушують користувачів надавати коди, надіслані через SMS, спеціальні додатки або електронну пошту.
OTP-боти працюють шляхом імітації автоматизованих систем або дзвінків від служби підтримки, змушуючи користувачів розголошувати коди, отримані через SMS, електронну пошту або спеціалізовані застосунки. Це дозволяє зловмисникам обходити захист, який базується виключно на одноразових кодах.
Рекомендації щодо захисту:
- Навчайте працівників ніколи не передавати коди автентифікації третім особам, навіть якщо вони представляються службою підтримки.
- Впроваджуйте більш стійкі методи MFA, такі як апаратні ключі безпеки (FIDO2) або push-повідомлення з підтвердженням контексту, де це можливо.
- У разі підозрілого дзвінка від «підтримки», ініціюйте зворотний зв'язок через офіційні внутрішні канали компанії.
Захист від OTP-ботів через впровадження FIDO2 та контекстних push-повідомлень
Використання OTP-ботів для виманювання одноразових кодів робить традиційну багатофакторну автентифікацію (MFA) через SMS чи електронну пошту вразливою. Для бізнесу це сигнал, що методи захисту доступу, які вважалися надійними ще вчора, сьогодні можуть бути легко обійдені зловмисниками.
Практичний крок: Перегляньте ваші політики доступу. Зверніться до Softline для впровадження більш стійких методів автентифікації, таких як апаратні ключі безпеки (FIDO2) або контекстні push-повідомлення, що значно підвищують рівень захисту облікових записів.
Використані джерела
- raw.githubusercontent.com (raw.githubusercontent.com)
- blogs.microsoft.com (blogs.microsoft.com)