За пределами промпта: почему MFA недостаточно для защиты ваших данных

By Mirko Peters · 2026-08-28

Добро пожаловать обратно, энтузиасты безопасности! Если вы похожи на меня, то наверняка помните, с каким коллективным облегчением техническое сообщество встретило появление многофакторной аутентификации (MFA) в массовом использовании. Годами мы полагались на хрупкие, легко угадываемые пароли. MFA должна была стать волшебной пулей, цифровым силовым полем, которое раз и навсегда не пустит хакеров. М

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно, энтузиасты безопасности! Если вы похожи на меня, то наверняка помните, с каким коллективным облегчением техническое сообщество встретило появление многофакторной аутентификации (MFA) в массовом использовании. Годами мы полагались на хрупкие, легко угадываемые пароли. MFA должна была стать волшебной пулей, цифровым силовым полем, которое раз и навсегда не пустит хакеров. Мы советуем нашим клиентам, друзьям и коллегам включать её везде. Банковские счета, социальные сети, корпоративные порталы: если у сервиса есть экран входа, добавьте MFA и считайте вопрос закрытым.

Но вот жёсткая правда, с которой нам нужно столкнуться сегодня: MFA недостаточно. Более того, считать её единственной линией обороны — опасная игра. Киберпреступники развивались, и сложные угрозы, которые сегодня стоят перед нашими сетями, обходят традиционные запросы MFA так, будто их и нет.

В этой статье мы развеем иллюзию абсолютной безопасности, рассмотрим очевидные уязвимости современных многофакторных систем и разберёмся, что на самом деле нужно для построения надёжной стратегии защиты в мире, где пароли и стандартные токены регулярно компрометируются. Идёте ли вы защищать корпоративную среду как ИТ-специалист или просто хотите обезопасить свою цифровую жизнь, понимание этих рисков обязательно. Давайте разбираться.

Главное

• MFA не является надёжным решением на все случаи. Сама по себе она не может гарантировать безопасность данных.
• Фишинговые атаки могут обойти MFA, обманом заставляя пользователей раскрывать свои учётные данные.
• Атаки с согласием OAuth позволяют получить несанкционированный доступ даже после прохождения MFA.
• Подмена SIM-карты может перехватывать коды MFA, передаваемые по SMS, что ставит безопасность под угрозу.
• Перехват сеанса использует активные сеансы, позволяя атакующим обходить MFA.
• Проблемы с удобством использования могут привести к отказу от MFA, что повышает уязвимость.
• Рассмотрите возможность использования менеджеров паролей для повышения безопасности и эффективного управления паролями.
• Внедрите модель безопасности «нулевого доверия», чтобы непрерывно проверять личности пользователей и ограничивать доступ.

Уязвимости MFA

Фишинговые атаки

Обзор фишинга

Фишинговые атаки остаются одной из самых распространённых угроз для безопасности данных. Они обманом заставляют вас раскрыть конфиденциальную информацию, например пароли или коды аутентификации. Киберпреступники часто используют методы социальной инженерии, чтобы склонить вас к передаче этих данных. Они могут отправлять письма, которые выглядят законными, и побуждать вас переходить по вредоносным ссылкам или загружать опасные вложения.

Фишинговые атаки могут обходить многофакторную аутентификацию (MFA) с помощью таких методов, как фишинг типа «посредник» (adversary-in-the-middle, AiTM) и кража токенов. Эти методы используют уязвимости процесса аутентификации и позволяют получить несанкционированный доступ без прохождения проверок MFA. Частота таких атак растёт, и в последние годы заметно увеличилось использование этих методов.

Примеры из практики

Обратите внимание на следующие техники, которые злоумышленники используют для обхода MFA:

• Социальная инженерия: хакеры используют человеческие слабости, обманом заставляя вас передать коды аутентификации или учётные данные через фишинговые письма или звонки.
• Атака усталости от MFA: злоумышленники засыпают вас запросами MFA, и вы из раздражения одобряете один из них.
• Атаки на одноразовые пароли SMS: такие методы, как подмена SIM-карты, позволяют перехватывать одноразовые пароли, отправляемые по SMS, и обходить MFA.

В последние годы фишинг превратился в изощрённые кампании. Например, кампании AiTM размещают фишинговую инфраструктуру между вами и легитимными сервисами, перехватывая одновременно ваши учётные данные и токены MFA. Это позволяет злоумышленникам получить доступ, не вызывая запроса MFA. Кража токенов предполагает похищение токенов аутентификации, что даёт несанкционированный доступ без необходимости знать пароли или проходить проверку MFA.

Атаки через согласие OAuth

Как работает согласие OAuth

Атаки через согласие OAuth заставляют вас предоставлять разрешения вредоносным приложениям. Такие атаки направлены на уровень авторизации, а не на процесс аутентификации. Как только вы даёте согласие, злоумышленники получают токены доступа, которые работают независимо от MFA и обеспечивают постоянный доступ к вашим учётным записям.

Риски несанкционированного доступа

Риски, связанные с атаками через согласие OAuth, очень серьёзны. Злоумышленники могут получить доступ к вашим данным даже после прохождения MFA. Это означает, что традиционные меры безопасности, такие как MFA, не защищают от несанкционированного доступа после того, как согласие уже дано. Последние тенденции показывают значительный рост числа вредоносных корпоративных приложений, нацеленных на клиенты Microsoft 365.

Подмена SIM-карты

Как работает подмена SIM-карты

Подмена SIM-карты — это техника, при которой злоумышленники получают контроль над вашим номером телефона, убедив оператора мобильной связи перенести ваш номер на новую SIM-карту. Это позволяет им перехватывать SMS-сообщения, в том числе содержащие коды MFA.

Примеры из практики

Распространённость атак с подменой SIM-карты резко возросла. Федеральная торговая комиссия США (FTC) сообщила о росте атак с подменой SIM-карт на 400% в период с 2021 по 2022 год. Исследование Принстонского университета 2020 года показало, что 80% первых попыток мошенничества с подменой SIM-карты оказались успешными, во многом из-за слабых методов аутентификации, используемых телекоммуникационными операторами.

В сентябре 2023 года соучредитель Ethereum Виталик Бутерин стал мишенью атаки с подменой SIM-карты, которая позволила хакерам взломать его аккаунт в Twitter. В августе 2023 года сотрудник Kroll также стал жертвой атаки с подменой SIM-карты, что привело к несанкционированному доступу к конфиденциальной информации компании.

Последствия атак с подменой SIM-карты могут быть серьёзными:

• Злоумышленники могут перехватывать коды MFA, отправленные по SMS, что открывает несанкционированный доступ к учётным записям.
• Доступ к конфиденциальной информации может привести к утечкам данных и потере интеллектуальной собственности.
• ФБР сообщило о почти 50 миллионах долларов убытков из-за атак с подменой SIM-карт.

Перехват сеанса

Эксплуатация файлов cookie сеанса

Перехват сеанса происходит, когда злоумышленники берут под контроль ваш активный сеанс в веб-приложении. Они эксплуатируют файлы cookie сеанса — небольшие фрагменты данных, которые сохраняются на вашем устройстве после входа в систему. Эти файлы позволяют оставаться в системе без повторного ввода учётных данных. Однако если злоумышленники похитят эти файлы cookie, они смогут выдать себя за вас и получить несанкционированный доступ к вашим учётным записям.

Вот некоторые распространённые методы, которые злоумышленники используют для перехвата сеансов:

• Кража токенов сеанса (файлов cookie) после аутентификации пользователя.
• Атаки с использованием прокси «человек посередине» (AitM) с помощью инструментов вроде Evilginx для перехвата учётных данных и кодов MFA в реальном времени.
• Использование вредоносного ПО-infostealer для извлечения файлов cookie сеанса с устройств жертв.
• Кража файлов cookie через вредоносное ПО или фишинг.
• Сниффинг сетевого трафика в незащищённых сетях Wi-Fi для перехвата данных сеанса.
• Межсайтовый скриптинг (XSS) для кражи файлов cookie.
• Перехват TCP-сеанса путём предсказания порядковых номеров.

Эти техники позволяют злоумышленникам обойти как пароли, так и запросы MFA. Получив cookie сеанса, они могут получить доступ к вашей учётной записи без пароля и кода MFA.

Влияние на эффективность MFA

Эффективность MFA значительно снижается, когда злоумышленники успешно перехватывают ваш сеанс. Они могут выдавать себя за вас и выполнять действия от вашего имени, обходя все контрольные точки MFA. Например, если злоумышленник украдёт cookie вашего сеанса, он сможет войти в учётную запись без ввода пароля и кода MFA.

Чтобы защититься, не используйте параметр «Оставаться в системе» на недоверенных устройствах. Если вы подозреваете, что учётная запись могла быть скомпрометирована, немедленно принудительно завершите все сеансы. Это действие поможет снизить риски, связанные с перехватом сеанса.

Ограничения многофакторной аутентификации

Удобство использования и безопасность

Баланс между удобством и безопасностью

При использовании многофакторной аутентификации (MFA) вы часто оказываетесь перед дилеммой. MFA повышает безопасность, но может усложнить работу с системой. Многим пользователям сложными кажутся процессы настройки и восстановления доступа. Эта сложность может приводить к раздражению и полному отказу от MFA. По сути, пользователи часто отказываются от MFA из-за неудобного пользовательского опыта, в частности из-за таких факторов, как:

• Сложность: настройка MFA может занимать много времени и быть запутанной, особенно для тех, кто не разбирается в технологиях.
• Неудобство: повторные запросы аутентификации могут раздражать, что приводит к снижению уровня внедрения.
• Отсутствие руководств: недостаточно подробные инструкции мешают выполнить шаги MFA.
• Сопротивление пользователей: общая нагрузка от MFA может побудить вас отказаться от него или отключить его.

Эти проблемы удобства напрямую способствуют раздражению пользователей и отказу от систем MFA.

Проблемы соблюдения требований пользователями

Соблюдение требований пользователями играет решающую роль в эффективности MFA. Когда вы сопротивляетесь MFA из-за воспринимаемых неудобств или сложности, вы подвергаете риску себя и свою организацию. Низкий уровень соблюдения требований может привести к следующему:

• Полный обход MFA.
• Сопротивление внедрению, из-за которого системы становятся уязвимыми для атак на основе паролей.
• Недостаточное использование или неправильная настройка MFA, что снижает его защитный эффект.

Технологические недостатки

Небезопасные каналы

MFA опирается на различные каналы связи, но не все они безопасны. Например, использование SMS для аутентификации может существенно ослабить вашу защиту. Если злоумышленники получат доступ к вашему номеру телефона, они смогут перехватить SMS-сообщения, включая коды MFA. Если полагаться только на пароли, злоумышленники при компрометации учётных данных смогут получить доступ к учётным записям без дополнительных барьеров.

Отсутствие стандартизации

Отсутствие стандартизации в реализациях MFA приводит к фрагментарным подходам на разных платформах. Такая несогласованность негативно влияет на надёжность MFA. Например, в таких секторах, как IoT и электронные услуги, часто используются различные протоколы MFA, что может создавать уязвимости.

Эти ограничения показывают проблемы, с которыми сталкиваются организации при внедрении MFA. Понимание этих проблем необходимо для повышения уровня безопасности.

Альтернативы MFA

В современном цифровом мире одна только многофакторная аутентификация (MFA) может оставить вас уязвимыми. Вместо этого стоит внедрить альтернативные меры безопасности, которые усилят вашу защиту. Вот некоторые эффективные варианты:

Менеджеры паролей

Преимущества менеджеров паролей

Менеджеры паролей упрощают онлайн-безопасность. Они хранят и шифруют ваши пароли, что позволяет легко использовать уникальные сложные пароли для каждой учётной записи. Это снижает риск кражи учётных данных и повторного использования паролей.

Как они повышают безопасность

Используя менеджер паролей, вы можете автоматически генерировать надёжные пароли. Это избавляет от необходимости запоминать множество паролей и позволяет сосредоточиться на безопасности, а не на запоминании. Кроме того, многие менеджеры паролей предлагают такие функции, как совместный доступ к паролям и оповещения об утечках, что дополнительно повышает безопасность вашей учётной записи.

Биометрическая аутентификация

Виды биометрических методов

Биометрическая аутентификация использует уникальные физические характеристики для подтверждения вашей личности. Распространённые методы включают:

• Сканирование отпечатков пальцев
• Сканирование ладони
• Сканирование сетчатки и радужной оболочки глаза
• Распознавание голоса
• Анализ дыхания
• Сопоставление ДНК
• Сканирование вен
• Распознавание походки

Эти методы широко применяются в таких отраслях, как здравоохранение и производство, особенно там, где часто используются общие устройства.

Плюсы и минусы биометрической безопасности

Биометрическая аутентификация даёт несколько преимуществ:

1. Высокий уровень безопасности и меньший риск кражи личности.
2. Удобство: не нужно помнить пароли.
3. Лучший пользовательский опыт: быстрый доступ к устройствам или сервисам.

Однако у неё есть и недостатки:

Хотя биометрические методы повышают безопасность, они также вызывают обоснованные опасения в отношении конфиденциальности данных и возможных утечек.

Модель безопасности Zero Trust

Принципы Zero Trust

Модель безопасности Zero Trust основана на принципе «никогда не доверяй, всегда проверяй». Этот подход требует строгой аутентификации и авторизации для каждого запроса на доступ. Ключевые принципы включают:

• Не предполагать неявного доверия ни к одному сетевому подключению.
• Применять несколько уровней защиты, например шифрование.
• Строго ограничивать доступ к данным по принципу необходимости знать.

Внедрение Zero Trust в организациях

Организации могут внедрить Zero Trust, постоянно проверяя личность пользователей и ограничивая доступ только утверждёнными пользователями и ресурсами. Эта модель делает упор на аутентификацию и авторизацию на основе идентификации для всех подключений. Отслеживая поведение пользователей и состояние устройств, организации могут динамически предоставлять доступ, снижая зависимость от MFA как единственной меры безопасности.

MFA имеет серьёзные уязвимости и ограничения, которые важно учитывать. Злоумышленники могут использовать поддельные страницы входа, чтобы похитить учётные данные, что снижает эффективность MFA. Кроме того, 61% организаций используют учётные записи root без MFA, что подчёркивает риски, связанные с опорой только на этот метод.

Чтобы защитить свои данные, выберите проактивный подход, предполагающий несколько уровней безопасности. Рассмотрите внедрение следующих мер:

• Контроль доступа на основе ролей, чтобы ограничить раскрытие данных.
• Соответствие таким нормативам, как HIPAA и GDPR, для надёжной аутентификации.
• Непрерывный мониторинг активности входа, чтобы выявлять подозрительное поведение.

Диверсифицируя меры безопасности, вы лучше защитите свою конфиденциальную информацию.

Часто задаваемые вопросы

Что такое MFA?

MFA, или многофакторная аутентификация, повышает безопасность, требуя два или более способа подтверждения личности. Это могут быть то, что вы знаете (например, пароль), то, что у вас есть (например, телефон), или то, что вы собой представляете (например, отпечаток пальца).

Как фишинг обходит MFA?

Фишинговые атаки заставляют вас раскрыть учётные данные или коды MFA. Злоумышленники могут использовать такие методы, как фишинг с перехватом посредника (adversary-in-the-middle, AiTM), чтобы перехватить и пароль, и токен MFA, получив доступ к вашим учётным записям без необходимости проходить MFA.

Что такое атака через согласие OAuth?

Атака через согласие OAuth происходит, когда злоумышленники манипулируют вами, заставляя предоставить разрешения вредоносным приложениям. После вашего согласия они получают токены доступа, которые позволяют обращаться к вашим данным без необходимости проходить MFA.

Почему подмена SIM-карты опасна?

Подмена SIM-карты позволяет злоумышленникам взять под контроль ваш номер телефона. Они могут перехватывать SMS-сообщения, включая коды MFA, что позволяет обойти MFA и получить доступ к вашим учётным записям без вашего ведома.

Как работает перехват сеанса?

Перехват сеанса происходит, когда злоумышленники крадут файлы cookie сеанса после вашего входа в систему. Они могут выдавать себя за вас и получать доступ к учётным записям без пароля и кода MFA, снижая эффективность MFA.

Какие есть альтернативы MFA?

Альтернативы MFA включают использование менеджеров паролей, биометрической аутентификации и модели безопасности с нулевым доверием (zero trust). Эти методы укрепляют вашу защиту и снижают зависимость только от MFA.

Можно ли полагаться только на пароли?

Нет, полагаться только на пароли рискованно. Пароли можно украсть или подобрать. Дополнительные меры защиты, такие как MFA или менеджеры паролей, значительно повышают защиту от несанкционированного доступа.

Как повысить уровень безопасности?

Чтобы усилить защиту, используйте надёжные уникальные пароли, включайте MFA везде, где это возможно, и регулярно проверяйте учётные записи на подозрительную активность. Многоуровневый подход к безопасности необходим для защиты ваших данных.

Заключение

Как мы показали в этой статье, считать многофакторную аутентификацию непробиваемым решением — опасная ошибка. Изощрённые кампании фишинга AiTM, безжалостная подмена SIM-карт, перехват сеансов и коварная эксплуатация согласия OAuth показывают, что злоумышленники находят множество способов обойти стандартные барьеры MFA. MFA остаётся важным инструментом в арсенале безопасности, но это лишь один из уровней более широкой картины. Чтобы по-настоящему защитить цифровые активы, придерживайтесь стратегии глубокой эшелонированной защиты (defense in depth), сочетайте надёжные методы аутентификации с надёжными менеджерами паролей и переходите к архитектуре нулевого доверия (zero trust).

Если вы хотите глубже разобраться в том, как происходят современные атаки на учётные записи, в частности, как злоумышленники используют разрешения приложений для долгосрочного доступа, обязательно послушайте сопутствующий выпуск подкаста. Полный разбор доступен по ссылке Stop OAuth Consent Attacks in Microsoft Entra ID. Берегите себя и не переставайте подвергать сомнению свои допущения, а до встречи в следующем выпуске!