Microsoft призвала не использовать звонки и SMS для многофакторной аутентификации

В прошлом году Вайнерт цитировал статистику компании, по которой многофакторная аутентификация (MFA) позволяет предотвратить 99,9% автоатак на пользовательские аккаунты Microsoft. Но в одном из свежих постов он пишет, что по возможности юзерам следует остановить свой выбор на MFA-технологиях, которые не задействуют сотовые сети. Это связано проблемами в их безопасности: телефонные сообщения и звонки могут быть легко перехвачены посредством программно определяемых радиосистем, фемтосот или инструментов для взлома протокола SS7 (ОКС-7), используемого для маршрутизации звонков и передачи SMS. Одноразовые коды можно украсть с помощью опенсорсных сервисов Modlishka, CredSniper и Evilginx.

Кроме того, злоумышленники могут завладеть кодами при помощи SIM-свопинга, обманом заставив сотрудников мобильного оператора перевыпустить SIM-карту жертвы от её имени. После активации новой SIM-карты с номером жертвы на собственном телефоне хакер получает доступ к любому сервису, к которому привязана проверка по номеру телефона.

Вайнерт называет звонки и сообщения самым небезопасным способом многофакторной аутентификации. По его мнению, в дальнейшем их надёжность будет только снижаться. Неплохой альтернативой будет приложение Microsoft Authenticator, но лучше всего пользоваться физическими ключами безопасности, говорит Вайнерт.