Der Diebstahl von Anmeldeinformationen zählt seit Langem zu den häufigsten Ursachen für Sicherheitsverletzungen im Netzwerk. Viele Unternehmen setzen deshalb auf Multi-Faktor-Authentifizierung (MFA) als Schutzmaßnahme. Es gilt als Best Practice, MFA für sämtliche Konten zu aktivieren. Wie wirksam MFA tatsächlich ist, hängt allerdings stark von der konkreten Einrichtung ab, denn Angreifer:innen entwickeln laufend neue Methoden, um sie zu umgehen.
Eine verbreitete Methode: Angreifer:innen überhäufen Beschäftigte, deren Anmeldeinformationen sie gestohlen haben, mit unablässigen MFA-Anfragen. Diese Taktik ist als MFA-Fatigue-Angriff bekannt und kam prominent beim jüngsten Sicherheitsvorfall bei Uber zum Einsatz, den wir später in diesem Artikel genauer analysieren.
📌Wenn Sie lieber eine visuelle Erklärung möchten, sehen Sie sich MFA-Fatigue-Angriffe an.
MFA-Fatigue-Angriffe: ein wachsendes Problem
Ein MFA-Fatigue-Angriff ist eine Form des Social Engineering und damit ein Cyberangriff, der auch als MFA-Bombing oder MFA-Spamming bezeichnet wird. Dabei überfluten Angreifer:innen Ihre E-Mails, Ihr Telefon oder Ihre registrierten Geräte mit wiederholten Anfragen zur Zwei-Faktor-Bestätigung. Ziel ist es, Sie so lange zu zermürben, bis Sie versehentlich eine Benachrichtigung bestätigen und den Angreifer:innen damit Zugriff auf Ihr Konto oder Gerät gewähren.
Solche Angriffe beginnen in der Regel, nachdem Angreifer:innen bereits an Ihre Anmeldeinformationen gelangt sind, oft durch Phishing oder andere Social-Engineering-Taktiken. Anmeldeinformationen lassen sich unter anderem auch im Darknet kaufen. Sobald sie vorliegen, können Angreifer:innen MFA-Push-Benachrichtigungen auslösen. Im typischen Ablauf geben Sie zunächst Ihre Anmeldeinformationen ein (erster Faktor) und erhalten anschließend eine Push-Benachrichtigung, um Ihre Identität über etwas zu bestätigen, das Sie physisch besitzen (zweiter Faktor), etwa Ihr Smartphone.
Diese Personengruppen sind bei MFA-Fatigue-Angriffen besonders gefährdet
MFA-Fatigue-Angriffe können sich gegen jede Person im Unternehmen richten, besonders wirksam sind sie jedoch bei Personen mit Zugriff auf sensible Informationen oder mit administrativen Rechten. Diese Angriffe nutzen die menschliche Neigung aus, Bequemlichkeit über Sicherheit zu stellen, vor allem bei hartnäckigen und lästigen Sicherheitsabfragen. Zu den häufigsten Zielen gehören:
- Führungskräfte der obersten Ebene: CEOs, CFOs und andere Mitglieder der C-Suite sind bevorzugte Ziele, weil sie umfassenden Zugriff auf sensible Unternehmensinformationen haben.
- IT-Personal und Administrator:innen: Wer IT-Systeme verwaltet und über privilegierten Zugriff verfügt, ist stark gefährdet, da diese Anmeldeinformationen tieferen Zugang zum Netzwerk ermöglichen.
- Personalabteilung: HR-Verantwortliche haben häufig Zugriff auf persönliche und finanzielle Daten der Beschäftigten und sind daher attraktive Ziele für Angreifer:innen.
- Finanzverantwortliche und Buchhaltung: Personen, die Finanztransaktionen und sensible Finanzdaten bearbeiten, werden angegriffen, um Zugang zu Bankdaten und Transaktionsmöglichkeiten zu erhalten.
- Mitarbeiter:innen im Kundenservice: Beschäftigte mit direktem Kundenkontakt haben oft Zugriff auf personenbezogene Kundendaten und auf Systeme zur Benutzerverwaltung.
Schulen Sie alle Beschäftigten zu den Risiken und Anzeichen von MFA-Fatigue-Angriffen, um persönliche und unternehmensbezogene Daten zu schützen. Regelmäßige Schulungen zu Best Practices der Cybersicherheit und durchdachte Sicherheitsrichtlinien können das Risiko solcher gezielten Angriffe deutlich senken. Aufmerksamkeit und Vorbereitung sind die wichtigsten Verteidigungslinien gegen die wachsende Bedrohung durch MFA Fatigue.
Beispiel für einen MFA-Fatigue-Angriff
Sehen wir uns ein reales Beispiel für einen MFA-Fatigue-Angriff an. Uber wurde vor Kurzem Opfer eines MFA-Fatigue-Angriffs der berüchtigten Hackergruppe Lapsus$. Der Vorfall begann damit, dass die Angreifer:innen die Anmeldeinformationen eines externen Auftragnehmers kompromittierten, vermutlich über das Darknet beschafft. Mit diesen Anmeldeinformationen lösten sie unaufhörlich MFA-Anfragen aus, um sich im Uber-Netzwerk anzumelden. Zunächst ignorierte der Auftragnehmer diese Aufforderungen, doch die Angreifer:innen gaben sich über WhatsApp geschickt als technischer Support aus und brachten ihn so dazu, die MFA-Anfrage zu bestätigen. Damit verschafften sie sich unbefugten Zugriff.
Einmal im System angekommen, griffen die Angreifer:innen auf mehrere weitere Mitarbeitendenkonten zu, weiteten ihre Berechtigungen aus, drangen in zentrale interne Tools wie G-Suite und Slack ein und luden vertrauliche interne Kommunikation sowie Daten aus einem Finanztool herunter, das das Finanzteam von Uber nutzt. Dieser Vorfall zeigt beispielhaft eine kritische Schwachstelle in MFA-Systemen und führt deutlich vor Augen, wie wichtig ständige Wachsamkeit und solide Sicherheitspraktiken sind, um sich gegen hochentwickelte Cyberbedrohungen zu schützen, gerade im Bereich MFA-Sicherheit.
Strategien zur Vorbeugung von MFA-Fatigue-Angriffen
Um einen MFA-Angriff wirksam zu verhindern, brauchen Sie belastbare Strategien, die auf die spezifischen Anforderungen Ihres Unternehmens zugeschnitten sind. Der Schutz vor MFA-Fatigue-Angriffen beginnt mit umfassender Aufklärung und Schulung aller Teammitglieder. Wenn Sie sich und Ihr Team über die Anzeichen von MFA Fatigue aufklären und die Methoden der Angreifer:innen kennen, senken Sie das Risiko erheblich. Setzen Sie darüber hinaus auf diese wichtigen Maßnahmen:
- Legen Sie klare Abläufe für den Umgang mit unerwarteten MFA-Anfragen fest.
- Ermutigen Sie Ihr Team, verdächtige Aktivitäten ohne Zögern zu melden.
- Aktualisieren und überprüfen Sie MFA-Protokolle regelmäßig, damit Ihre Abwehr mit den sich wandelnden Cyberbedrohungen Schritt hält.
Eine Sicherheitsrichtlinie, die die Häufigkeit von MFA-Anfragen begrenzt, verringert die Gefahr, dass Ihre Beschäftigten mit Anmeldeaufforderungen überflutet werden, und reduziert damit die Wahrscheinlichkeit versehentlicher Bestätigungen. Zusätzliche Sicherheitsebenen wie Verhaltensanalytik helfen dabei, ungewöhnliche Muster zu erkennen, die auf einen versuchten MFA-Fatigue-Angriff hindeuten. Mit diesen proaktiven Maßnahmen schützen Sie Ihre Daten und befähigen Ihre Beschäftigten, aktiv zur Gesamtsicherheit Ihres Unternehmens beizutragen.
Sicherheitsprotokolle verbessern, ohne Benutzer:innen zu überfordern
Bei der Planung Ihrer Sicherheitsstrategie kommt es darauf an, robuste Sicherheitsmaßnahmen und Benutzerfreundlichkeit in Balance zu bringen. Setzen Sie auf adaptive Authentifizierungsmethoden, die die Sicherheitsanforderungen an den Kontext der Benutzer:innen anpassen, etwa an den Standort oder das Sicherheitsniveau des verwendeten Geräts. So lässt sich die Zahl der Authentifizierungsanfragen deutlich reduzieren, wenn die Bedingungen als sicher gelten. Das mindert Ermüdung und Frust auf Benutzerseite.
Achten Sie außerdem darauf, dass jede Änderung an Sicherheitsprotokollen von klaren, verständlichen Richtlinien und leicht erreichbarem Support begleitet wird. So versteht Ihr Team die neuen Abläufe und deren Bedeutung, ohne dass die Produktivität leidet.
Entdecken Sie, wie die Multi-Faktor-Authentifizierung von NinjaOne die Sicherheit erhöht und dabei einfach in der Anwendung bleibt.
Sicherheit über Einzelmaßnahmen hinaus ausbauen
MFA-Fatigue-Angriffe zeigen, wo die Grenzen liegen, wenn man sich allein auf eine einzige Verteidigungsstrategie verlässt, ähnlich wie beim unberechenbaren Charakter von Zero-Day-Schwachstellen. Mit NinjaOne profitieren Sie von einem umfassenden Paket an Sicherheitsintegrationen, darunter kontinuierliche Überwachung, proaktives Patch-Management und automatisierte IT-Lösungen, die entscheidend dazu beitragen, Ihre Abwehr gegen vielfältige und sich ständig weiterentwickelnde Cyberbedrohungen zu stärken.
NinjaOne verfolgt mit der Endpunkt-Sicherheit von NinjaOne und RMM-Lösungen einen vielschichtigen und anpassungsfähigen Sicherheitsansatz, der von Anfang an für eine starke IT-Sicherheitslage sorgt. Diese Systeme bieten nicht nur sichere Backups und vollständige Transparenz über Ihre IT-Infrastruktur, sondern senken auch Ihr Risiko spürbar und schützen Ihr Unternehmen vor der dynamischen Bedrohungslandschaft im Bereich Cyberbedrohungen.
