V září 2022 začala externímu pracovníkovi Uberu chodit do mobilu jedna žádost o potvrzení přihlášení za druhou. Zhruba hodinu je odmítal. Pak mu na WhatsAppu napsal člověk, který se vydával za firemní IT: upozornění prý přestanou, jakmile jedno schválí. Schválil. Útočník, který jeho heslo předtím nejspíš koupil na dark webu, byl uvnitř.
Vícefaktorové ověření v tomto příběhu technicky neselhalo. Útočník ho nemusel prolomit, stačilo mu počkat na lidskou chybu. MFA tak zůstává jednou z nejdůležitějších vrstev ochrany, ale není poslední překážkou mezi útočníkem a firemním účtem.
Čtyři cesty kolem MFA
- Phishing v reálném čase (AiTM). Podvodná stránka funguje jako prostředník mezi obětí a skutečnou přihlašovací službou. Uživatel zadá heslo i kód, útočník je obratem použije a získá platnou relaci.
- Krádež session tokenu. Po přihlášení drží prohlížeč token, který další ověření nevyžaduje. Malware typu infostealer ho umí odcizit a útočník se pak přihlásí bez hesla i bez kódu.
- MFA fatigue. Útočník už zná heslo a zahlcuje oběť žádostmi o potvrzení, dokud jednu z únavy nebo zmatku neschválí. Přesně jako v případě Uberu.
- Helpdesk. Útočníci na MGM Resorts v září 2023 podle dostupných informací našli zaměstnance na LinkedInu, zavolali na IT helpdesk a nechali si obnovit přístup. Následný útok ochromil hotely a kasina a firmu stál přes 100 milionů dolarů.
Poslední dvě cesty nemají s technikou mnoho společného. Při testech sociálního inženýrství dosahuje úspěšnost v některých projektech až 40 procent, uvádí Ethical Hacking Report společnosti Citadelo, který shrnuje výsledky 628 bezpečnostních projektů za rok 2025.
Průnik je teprve začátek
Skutečná škoda obvykle nevzniká v okamžiku přihlášení. Útočník v Uberu našel v interní síti skript s uloženými přihlašovacími údaji administrátora. Tak to často vypadá: s jedním účtem se mapují sdílené disky, interní aplikace a chybně nastavená oprávnění. Z drobných slabin, které by jednotlivě nikoho neznepokojily, se skládá cesta k doméně a kritickým systémům. Jediný kompromitovaný notebook tak může vést k ovládnutí celé sítě.
Proto nestačí mít MFA zapnuté. Důležité je vědět, co se stane, když ho útočník obejde. Na to odpovídá penetrační testování: etický hacker projde stejnou cestou jako útočník a ukáže, kde by ho firma zastavila a kde ne. Širší red teaming navíc prověří, zda si útoku vůbec všimne bezpečnostní tým.
Co udělat hned
- Kde to jde, nasaďte MFA odolné proti phishingu, například bezpečnostní klíče nebo passkeys (FIDO2). Kód z SMS ani potvrzení v aplikaci proti AiTM útoku nechrání.
- Místo prostého „schválit“ vyžadujte opsání čísla z přihlašovací obrazovky a omezte počet žádostí o potvrzení.
- Reset MFA přes helpdesk podmiňte nezávislým ověřením identity, například zpětným hovorem na známé číslo.
- Zkracujte platnost relací a hlídejte přihlášení z neobvyklých zařízení a míst.
Zapnout MFA je snadné. Ověřit, jak obstojí proti někomu, kdo ho cíleně obchází, je práce, kterou je lepší udělat dřív než útočník.
ČLÁNKY DO MAILU