Diefstal van referenties is al lang een belangrijke oorzaak van inbreuken op netwerkbeveiliging. Veel organisaties zetten daarom multi-factor authenticatie (MFA) in als beveiliging. Het is sterk aan te raden om MFA voor alle accounts in te schakelen als beste praktijk. De effectiviteit van MFA hangt echter sterk af van de manier waarop die is ingericht, want aanvallers ontwikkelen steeds nieuwe strategieën om MFA te omzeilen.
Een veelgebruikte methode is het overspoelen van een medewerker wiens referenties zijn buitgemaakt met eindeloze MFA-verzoeken. Deze tactiek, bekend als MFA fatigue attack, werd opvallend genoeg gebruikt bij de recente inbreuk bij Uber. Die zaak behandelen we verderop in dit artikel.
📌Liever een visuele uitleg? Bekijk dan MFA fatigue-aanvallen.
Waarom MFA fatigue attacks steeds vaker voorkomen
Een MFA fatigue attack is een vorm van social engineering – ook wel MFA bombing of MFA spamming genoemd – waarbij aanvallers uw e-mail, telefoon of geregistreerde devices bestoken met herhaalde verzoeken om tweede-factorauthenticatie. Het doel is u murw te maken tot u per ongeluk een melding bevestigt. Daarmee krijgen de aanvallers toegang tot uw account of device. Het gaat dus om een cyberaanval die draait om menselijk gedrag.
Deze aanvallen beginnen meestal nadat aanvallers uw inloggegevens al hebben bemachtigd, vaak via phishing of andere social engineering-tactieken. Referenties kunnen onder meer ook op het dark web worden gekocht. Zodra ze die hebben, kunnen aanvallers MFA-pushmeldingen activeren. In een typisch scenario voert u eerst uw referenties in (eerste factor) en ontvangt u vervolgens een pushmelding om uw identiteit te bevestigen via iets dat u fysiek bezit (tweede factor), zoals uw mobiele telefoon.
Wie loopt risico op een MFA fatigue attack?
MFA fatigue attacks kunnen iedereen binnen een organisatie treffen, maar ze zijn vooral effectief bij mensen met toegang tot gevoelige informatie of beheerdersrechten. Deze aanvallen spelen in op de menselijke neiging om gemak boven veiligheid te verkiezen, zeker bij aanhoudende en irritante beveiligingsmeldingen. Veelvoorkomende doelwitten zijn:
- Hoge leidinggevenden: CEO’s, CFO’s en andere C-suite-leden zijn geliefde doelwitten vanwege hun brede toegang tot gevoelige bedrijfsinformatie.
- IT-medewerkers en beheerders: wie IT-systemen beheert en geprivilegieerde toegang heeft, loopt een hoog risico, omdat hun referenties diepere toegang tot het netwerk geven.
- HR-medewerkers: HR-managers hebben vaak toegang tot persoonlijke en financiële gegevens van medewerkers, wat hen aantrekkelijk maakt voor aanvallers.
- Financieel verantwoordelijken en accountants: mensen die financiële transacties en gevoelige financiële gegevens behandelen, worden aangevallen om toegang te krijgen tot bankgegevens en transactiemogelijkheden.
- Medewerkers van de klantenservice: medewerkers met klantcontact hebben mogelijk toegang tot persoonsgegevens van klanten en systemen voor gebruikersbeheer.
Leer al uw medewerkers de risico’s en signalen van MFA fatigue attacks herkennen om persoonlijke en bedrijfsgegevens te beschermen. Regelmatige training over beste praktijken op het gebied van cybersecurity en stevige beveiligingsbeleidsregels verkleinen het risico op dit soort gerichte aanvallen aanzienlijk. Bewustwording en voorbereiding zijn de belangrijkste verdediging tegen de groeiende dreiging van MFA fatigue.
Voorbeeld van een MFA fatigue attack
Laten we kijken naar een voorbeeld uit de praktijk. Uber werd onlangs slachtoffer van een MFA fatigue attack, uitgevoerd door de beruchte hackersgroep Lapsus$. De inbreuk begon toen de aanvallers de referenties van een externe contractor in handen kregen, waarschijnlijk via het dark web. Met die referenties activeerden de aanvallers onophoudelijk MFA-verzoeken om in te loggen op het netwerk van Uber. Aanvankelijk negeerde de contractor die meldingen, maar de aanvallers deden zich via WhatsApp handig voor als technische ondersteuning en praatten de contractor zo over de streep om de MFA-melding te accepteren. Daarmee kregen ze ongeautoriseerde toegang.
Eenmaal binnen kregen de aanvallers toegang tot diverse andere medewerkersaccounts. Ze breidden hun rechten uit om door te dringen tot belangrijke interne tools als G-Suite en Slack en downloadden gevoelige interne communicatie en een financiële tool van het financiële team van Uber. Dit incident is een voorbeeld van een kritieke kwetsbaarheid in MFA-systemen en vormt een duidelijke herinnering aan het belang van voortdurende waakzaamheid en solide beveiligingspraktijken tegen geavanceerde cyberdreigingen, zeker rond MFA-beveiliging.
Zo voorkomt u een MFA fatigue attack
Om een MFA-aanval effectief te voorkomen, heeft u stevige strategieën nodig die aansluiten op de specifieke behoeften van uw organisatie. Preventie begint met uitgebreide voorlichting en training voor alle teamleden. Uzelf en uw medewerkers leren de signalen van MFA fatigue te herkennen en inzicht geven in de methoden van aanvallers verkleint het risico aanzienlijk. Zet daarnaast deze belangrijke tactieken in:
- Stel duidelijke protocollen op voor het omgaan met onverwachte MFA-verzoeken.
- Moedig uw team aan verdachte activiteit zonder aarzelen te melden.
- Actualiseer en beoordeel MFA-protocollen regelmatig, zodat uw verdediging gelijke tred houdt met veranderende cyberdreigingen.
Een beveiligingsbeleid dat het aantal MFA-verzoeken beperkt, verkleint de kans dat uw medewerkers worden overspoeld met inlogmeldingen en daarmee de kans op een onbedoelde goedkeuring. U kunt extra beveiligingslagen toevoegen, zoals gedragsanalytics, om ongewone patronen te signaleren die kunnen wijzen op een poging tot een MFA fatigue attack. Met deze proactieve maatregelen beschermt u uw gegevens en stelt u uw medewerkers in staat bij te dragen aan de algehele beveiliging van uw organisatie.
Beveiliging versterken zonder gebruikers te overbelasten
Bij het opstellen van uw beveiligingsstrategie is het belangrijk de balans te vinden tussen stevige beveiligingsmaatregelen en gebruiksgemak. Kies voor adaptieve authenticatiemethoden die de beveiligingseisen afstemmen op de context van de gebruiker, zoals de locatie of het beveiligingsniveau van het gebruikte device. Zo daalt het aantal authenticatieverzoeken aanzienlijk wanneer de omstandigheden als veilig worden beoordeeld, wat vermoeidheid en frustratie bij gebruikers beperkt.
Zorg er bovendien voor dat wijzigingen in beveiligingsprotocollen altijd gepaard gaan met heldere, eenvoudige richtlijnen en direct beschikbare ondersteuning. Zo begrijpt uw team de nieuwe processen en het belang ervan, zonder dat de productiviteit eronder lijdt.
Ontdek hoe de multi-factor authenticatie van NinjaOne de beveiliging versterkt en tegelijk gebruiksvriendelijk blijft.
Kijk verder dan één enkele beveiligingsmaatregel
MFA fatigue attacks laten zien waar de grenzen liggen van vertrouwen op één verdedigingsstrategie, net als bij het onvoorspelbare karakter van zero-day-kwetsbaarheden. Met NinjaOne profiteert u van een compleet pakket beveiligingsintegraties, waaronder doorlopende monitoring, proactief patchbeheer en geautomatiseerde IT-oplossingen die onmisbaar zijn om uw verdediging tegen uiteenlopende en voortdurend veranderende cyberdreigingen te versterken.
NinjaOne hanteert een veelzijdige en adaptieve beveiligingsaanpak met de tools voor eindpuntbeveiliging van NinjaOne en RMM-oplossingen die vanaf het begin zorgen voor een sterke IT-beveiliging. Deze systemen leveren niet alleen veilige back-ups en volledig inzicht in uw IT-infrastructuur, maar verkleinen ook uw risico aanzienlijk en beschermen uw organisatie tegen het veranderende landschap van cyberdreigingen.
