L’authentification multifacteur devient un enjeu de table pour la cybersécurité : les cyberassureurs l’exigent, les responsables de la sécurité d’entreprise prévoient d’y dépenser plus, et même si la MFA peut ennuyer les utilisateurs, la plupart reconnaissent qu’elle aide à protéger leurs comptes. En effet, Microsoft affirme que la méthode de vérification en deux étapes peut bloquer plus de 99,9 % des tentatives d’attaque, et Google place le taux de réussite de 76 % à 100 %.
Alors, qu’est-ce qui ne vous plaît pas ?
Eh bien, comme avec la plupart des contre-mesures de sécurité, les pirates informatiques trouvent de plus en plus de moyens sournois de contourner la MFA.
« Les pirates informatiques s’adapteront toujours, et je ne suis pas encore convaincu que l’AMF, même à long terme, sera la panacée que la plupart des gens pensent que ce sera », déclare Roger Grimes, analyste de la cyberdéfense pour KnowBe4, qui fournit une formation de sensibilisation à la sécurité. « L’AMF est vendue comme cette solution très, très sécurisée qui résoudra les problèmes de piratage de tout le monde... et ce n’est tout simplement pas vrai. »
Pour être clairs, des experts comme Grimes affirment que la MFA, qui nécessite le nom d’utilisateur et le mot de passe, ainsi qu’un code ou une clé temporaire envoyés à l’appareil d’un utilisateur, est toujours l’une des méthodes de vérification les plus efficaces et doit faire partie de toute stratégie de sécurité des endpoints . De plus, les nouvelles formes d’AMF basées sur un cadre appelé FIDO2 utilisent des informations d’identification cryptographiques pour minimiser le risque d’ hameçonnage, de vol de mot de passe et de relecture des attaques. De plus, le cadre permet d’utiliser des innovations telles que des lecteurs d’empreintes digitales, des caméras et des clés de sécurité dans le cadre du processus.
Mais la plupart des organisations s’appuient toujours sur des approches plus anciennes basées sur les SMS, comme dans le service de messages courts ou la messagerie texte, et ce sont les systèmes que les pirates informatiques ciblent avec un succès croissant.
Ils le font de plusieurs manières, notamment par le biais de l’ingénierie sociale, en capitalisant sur les défauts dans les façons dont les codes ponctuels sont envoyés aux utilisateurs et en tirant parti des comptes Microsoft dormants pour accéder aux réseaux publics et privés.
Comment l’AMF succombe à l’ingénierie sociale
L’une des tactiques les plus courantes est connue sous le nom d’ attaque de fatigue MFA. Également appelé bombardement MFA, cet exploit implique qu’un pirate informatique inonde l’appareil d’un utilisateur final avec des invites répétées demandant d’approuver une tentative de connexion. Cela fonctionne essentiellement en attrapant quelqu’un hors de la garde ou en l’incitant à croire qu’il doit approuver une demande d’authentification.
« Les employés doivent traiter les demandes d’authentification MFA avec un niveau de suspicion accru [comme si] quelqu’un venait à la porte d’entrée et demandait des informations de carte de crédit. »Chris Prewitt, RSSI, Inversion6
En septembre dernier, le tristement célèbre groupe de piratage Lapsus$ a utilisé le bombardement MFA pour enfreindre l’application de covoiturage Uber. Uber a déclaré que les cybercriminels ont obtenu des informations d’identification VPN auprès d’un entrepreneur externe, les achetant probablement sur le dark web, puis ont essayé à plusieurs reprises de se connecter au compte Uber de l’utilisateur. À chaque fois, l’entrepreneur a reçu une demande d’approbation de connexion à deux facteurs, qui a initialement bloqué l’accès. Cependant, finalement, l’entrepreneur en a accepté un, et l’attaquant a pu se connecter, a déclaré Uber. À partir de là, l’attaquant a accédé à d’autres comptes d’employés et a obtenu un accès élevé à plusieurs outils, notamment G-Suite et Slack.
Bien que l’attaquant ait pu publier des messages sur le canal Slack à l’échelle de l’entreprise, Uber a déclaré qu’il ne pensait pas que les attaquants avaient accédé aux données personnelles des clients ou apporté des modifications au code source.
Dans une récente enquête Beyond Identity, 62 % des utilisateurs ont déclaré avoir subi un bombardement de MFA, et près d’un utilisateur sur 10 n’a jamais récupéré l’accès à un compte qui avait été verrouillé après ces attaques. Le rapport a indiqué que les cinq principaux types de comptes MFA touchés par cette tactique étaient les services bancaires (62 %), Facebook (45 %), Instagram (39 %), les cryptomonnaies (36 %) et Twitter (34 %).
3 façons de désamorcer les attaques de fatigue par MFA
Pour réduire le potentiel d’une attaque MFA réussie, les experts recommandent quelques étapes :
1. Renforcer les paramètres MFA : BeyondTrust recommande d’ optimiser la configuration de vos processus d’authentification MFA en réduisant la fenêtre de temps entre les authentifications de facteur, en limitant le nombre de tentatives d’accès infructueuses autorisées pendant une certaine période, en ajoutant des exigences de géolocalisation ou biométriques, en augmentant le nombre de facteurs requis pour l’accès et en signalant les tentatives de connexion excessives pour un analyste de sécurité. D’autres experts suggèrent de limiter ou de désactiver les notifications push de demande d’AMF.
2. Formez votre personnel : Chris Prewitt, RSSI de Inversion6, recommande une formation continue à votre personnel pour s’assurer qu’il est au courant de l’exploitation de l’attaque de fatigue de l’AMF et de ce qu’il faut faire pour y remédier.
« Les employés doivent traiter les demandes d’authentification MFA avec un niveau de suspicion accru », dit-il. « Si quelqu’un venait à la porte d’entrée et demandait des informations de carte de crédit, la plupart des gens ne les donneraient pas. Mais en ligne, nous semblons être un peu plus ouverts à cliquer sur des choses et à partager des informations que nous ne devrions pas, qui doivent changer. »
3. Appliquer le moindre privilège : une autre étape consiste à restreindre les droits d’accès pour les personnes, les comptes et les machines uniquement à ce qui est nécessaire pour cet utilisateur. De cette manière, les attaques de fatigue MFA ont du mal à obtenir un accès étendu aux comptes ou aux données. Ils sont essentiellement arrêtés près de leurs points d’entrée.
Attaques MFA qui capitalisent sur les failles des SMS
Une autre façon pour les pirates informatiques de contourner la MFA consiste à dépasser l’approche de code unique par SMS elle-même.
« Aucune sécurité, lorsqu’elle est mal effectuée, n’est la réponse. »John Pescatore, directeur des tendances émergentes en matière de sécurité, SANS Institute
La plupart des experts s’accordent à dire que fonder le deuxième facteur de l’authentification par SMS sur l’authentification par SMS n’est pas aussi sûr, car les pirates informatiques sont plutôt doués pour utiliser l’usurpation d’identité et l’hameçonnage pour intercepter et lire les messages SMS. Ils utilisent également une escroquerie d’ingénierie sociale appelée échange de carte SIM, où ils obtiennent des informations personnelles sur vous, contactent votre fournisseur de services sans fil, leur donnent une histoire fictive sur un téléphone perdu ou volé, et leur disent de porter votre ancien numéro sur un nouveau téléphone qu’ils contrôlent. Une fois terminé, ils peuvent intercepter des messages SMS, y compris des codes MFA. Il existe même une technique appelée « SMS smishing », qui est une attaque d’hameçonnage lancée par SMS.
Grimes note que certaines solutions d’AMF se sont améliorées pour contrer les tentatives d’hameçonnage ou d’hameçonnage et déclare « tout le monde devrait utiliser l’AMF résistante à l’hameçonnage lorsqu’il le peut pour protéger des données et des systèmes précieux. » Mais il avertit, « au mieux, même une bonne MFA ne bloque que 30 à 50 % des attaques actuelles. »
Pour leur part, Microsoft et d’autres leaders du secteur exhortent les entreprises à s’éloigner de la MFA par téléphone, qu’elles appellent « la méthode MFA la moins sécurisée disponible aujourd’hui », et à utiliser plutôt des clés de sécurité ou des applications d’authentification. Microsoft a même annoncé son intention d’améliorer l’authentification à deux facteurs dans Windows 11 en ajoutant un numéro au code à second facteur envoyé depuis son application Microsoft Authenticator. La fonctionnalité est toujours en cours de test. Twitter a également informé les personnes qui ne s’abonnent pas à son service payant Twitter Blue qu’il cessera d’envoyer des textes avec des codes de connexion après 20 mars. L’entreprise a encouragé les utilisateurs non payants à utiliser des applications d’authentification gratuites ou des méthodes de clés de sécurité.
« Je pense que c’est un grand pas dans la bonne direction », déclare Prewitt. « SMS est attaqué depuis longtemps. »
Utiliser la MFA pour attaquer la MFA ? Découvrez la prise de contrôle de compte dormante
L’une des manières les plus maladroites pour les pirates informatiques de contourner la MFA est de prendre en charge les comptes Microsoft dormants. Mandiant, une société de cybersécurité, déclare avoir récemment observé une tendance selon laquelle les pirates informatiques, y compris le groupe d’espionnage russe APT29, tirent parti du processus d’auto-inscription pour la MFA dans Azure Active Directory et d’autres plateformes.
Dans un cas, APT29 ont apparemment mené une attaque de devinage de mot de passe contre une liste de boîtes aux lettres qu’ils avaient obtenues d’une manière ou d’une autre. Ils ont réussi à deviner un mot de passe pour un compte qui avait été configuré mais jamais utilisé. Étant donné qu’il était dormant, Mandiant dit qu’Azure AD a incité APT29 à s’inscrire à la MFA, et une fois que cela s’est produit, le groupe de piratage a pu accéder à l’infrastructure VPN qui utilisait Azure AD pour l’authentification et la MFA.
Pour contrer ces exploits, Mandiant recommande de s’assurer que tous les comptes actifs disposent d’au moins un appareil MFA inscrit et de travailler avec le fournisseur de votre plateforme pour ajouter des vérifications supplémentaires au processus d’inscription MFA.
John Pescatore, directeur des tendances émergentes en matière de sécurité pour le SANS Institute, déclare que la plupart des attaques de contournement de l’AMF comme celles-ci ont un point commun : elles reposent sur des processus mal mis en œuvre plutôt que de compromettre directement la solution d’AMF.
« Lorsqu’il est mal fait, aucune sécurité n’est la réponse », dit-il. « Mais de solides contrôles de sécurité tels que la MFA, la gestion des privilèges, le contrôle des applications et l’application rapide de correctifs, ainsi que la pénétration effectuée par un personnel qualifié ont permis à de nombreuses entreprises d’éviter les dommages majeurs causés par les cyberattaques, sans avoir d’impact sur les activités. »
