Τι πρέπει να κάνετε όταν λαμβάνετε κωδικούς MFA OTP που δεν ζητούνται

Η λήψη ενός κωδικού πρόσβασης μίας χρήσης (OTP) που δεν ζητήθηκε, αποστέλλεται ως μήνυμα ηλεκτρονικού ταχυδρομείου ή μήνυμα κειμένου θα πρέπει να αποτελεί λόγο ανησυχίας, καθώς πιθανότατα σημαίνει ότι τα διαπιστευτήριά σας έχουν κλαπεί.

Ένα από τα αρχικά συστατικά μιας κυβερνοεπίθεσης είναι η κλοπή νόμιμων διαπιστευτηρίων σε εταιρικά δίκτυα και διαδικτυακές

υπηρεσίες

. Αυτά τα διαπιστευτήρια μπορούν να κλαπούν σε επιθέσεις

phishing

, επιθέσεις πλήρωσης διαπιστευτηρίων, μέσω κακόβουλου λογισμικού κλοπής πληροφοριών ή επιθέσεις κοινωνικής μηχανικής.

Τα κλεμμένα διαπιστευτήρια χρησιμοποιούνται στη συνέχεια για παραβίαση εταιρικών δικτύων για κλοπή δεδομένων, κατασκοπεία και επιθέσεις ransomware ή για τη διεξαγωγή οικονομικής απάτης στους λογαριασμούς λιανικής πώλησης των καταναλωτών στο διαδίκτυο.

Οι αγορές που είναι αφιερωμένες στην πώληση κλεμμένων διαδικτυακών λογαριασμών καταναλωτών καθιστούν εύκολη την οικονομική απάτη, όπου οι φορείς απειλών μπορούν να αγοράσουν λογαριασμούς για μόλις 1,50 $ στην Amazon, στους λογαριασμούς ανταμοιβών Marriot Bonvoy, στο Dunkin, στο Instacart και σε πολλά άλλα γνωστά καταστήματα λιανικής.

Για την καλύτερη προστασία των λογαριασμών σας στο διαδίκτυο, πολλές εταιρείες προσφέρουν μια δυνατότητα ασφαλείας που ονομάζεται έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA), η οποία όταν ρυθμιστεί, απαιτεί από τους χρήστες να εισάγουν μια πρόσθετη μορφή

επα

λήθευσης πριν τους επιτραπεί να συνδεθούν στον λογαριασμό τους.

Αυτή η επαλήθευση θα μπορούσε να είναι ένας κωδικός πρόσβασης μίας χρήσης που αποστέλλεται ως μήνυμα ηλεκτρονικού ταχυδρομείου ή μήνυμα κειμένου που πρέπει να εισαχθεί στον ιστότοπο, ένας κωδικός πρόσβασης από μια

εφαρμογή

ελέγχου ταυτότητας ή η παρουσία ενός διαμορφωμένου κλειδιού ασφαλείας υλικού.

Χρησιμοποιώντας το MFA, ακόμα κι αν ένας παράγοντας απειλής αποκτήσει με επιτυχία τα διαπιστευτήρια του λογαριασμού σας, δεν μπορεί να συνδεθεί χωρίς να περάσει πρώτα το μήνυμα επαλήθευσης πολλαπλών παραγόντων, μειώνοντας σημαντικά τις επιτυχείς παραβιάσεις λογαριασμού.

Κωδικοί OTP που δεν ζητήθηκαν

Αυτή την εβδομάδα, τόσο ένας φίλος όσο και ένα μέλος της οικογένειας επικοινώνησαν μαζί μου δηλώνοντας ότι έλαβαν ένα μήνυμα κειμένου από την Amazon που περιείχε ένα MFA OTP που απαιτείται για να συνδεθούν στον λογαριασμό τους.

Το μήνυμα κειμένου προερχόταν από τον ίδιο αριθμό που χρησιμοποιήθηκε σε προηγούμενα κείμενα του Amazon, δεν περιείχε συνδέσμους και απλώς εμφάνιζε ένα OTP που χρησιμοποιήθηκε για σύνδεση.

Η μόνη διαφορά είναι ότι δεν είχαν προσπαθήσει να συνδεθούν στο Amazon, οπότε το OTP ήταν απροσδόκητο και απροσδόκητο.

Αυτό σήμαινε ότι κάποιος άλλος επιχείρησε να χρησιμοποιήσει τα διαπιστευτήρια του ατόμου στο Amazon, αλλά σταμάτησε από την προτροπή επαλήθευσης δύο παραγόντων (η Amazon το αποκαλεί επαλήθευση δύο βημάτων).

Όταν λαμβάνει έναν κωδικό 2FA που δεν ζητείται, ο κάτοχος του λογαριασμού θα πρέπει να υποθέσει ότι τα διαπιστευτήριά του έχουν κλαπεί και να συνδεθεί απευθείας στο Amazon, χωρίς να κάνει κλικ σε συνδέσμους σε μηνύματα κειμένου ή email, για να αλλάξει τον κωδικό πρόσβασής του.

Εάν ο ίδιος κωδικός πρόσβασης χρησιμοποιείται με οποιονδήποτε από τους άλλους λογαριασμούς σας, θα πρέπει επίσης να αλλάξει αμέσως σε αυτούς τους ιστότοπους.

Είναι επίσης σημαντικό να μην πιστεύετε ότι αφού το 2FA προστάτευε τον λογαριασμό σας δεν χρειάζεται πλέον να αλλάξετε τον κωδικό πρόσβασής σας. Αυτό είναι ένα ψεύτικο αίσθημα ασφάλειας, καθώς οι φορείς απειλών έχουν βρει τρόπους να παρακάμψουν το MFA στο παρελθόν, επομένως δεν υπάρχει λόγος να τους δώσετε την ευκαιρία να το κάνουν με τον λογαριασμό σας.

Επιπλέον

, ενώ το SMS και το email 2FA παρέχουν επιπλέον προστασία στους λογαριασμούς σας, είναι η πιο επικίνδυνη μέθοδος MFA που μπορείτε να χρησιμοποιήσετε. Αυτό συμβαίνει επειδή εάν κάποιος αποκτήσει πρόσβαση στο email ή τον αριθμό τηλεφώνου σας, όπως μέσω μιας επίθεσης ανταλλαγής SIM, θα έχει επίσης πρόσβαση στους κωδικούς OTP σας.

Αυτό θα τους επέτρεπε να επαναφέρουν τον κωδικό πρόσβασής σας χωρίς να το γνωρίζετε μέχρι να είναι πολύ αργά.

Αντίθετα, εάν ένας ιστότοπος παρέχει υποστήριξη για εφαρμογές ελέγχου ταυτότητας, κλειδιά ασφαλείας υλικού ή κωδικούς πρόσβασης, θα πρέπει να χρησιμοποιήσετε μία από αυτές τις επιλογές, καθώς θα απαιτούν από τους εισβολείς να έχουν πρόσβαση στη συσκευή σας για να περάσουν την πρόκληση ελέγχου ταυτότητας πολλαπλών παραγόντων.