MFA fatigue ve sahte destek araması

MFA fatigue nedir?

Push tabanlı MFA, kullanıcıdan telefondaki bildirimi onaylamasını ister. Saldırgan parola bilgisini elde etmişse giriş denemeleriyle bildirim üretebilir. Çok sayıda bildirim, gece saati veya eş zamanlı telefon araması kullanıcıyı “bu uyarıyı susturmak” için onaya yöneltebilir.

MFA hâlâ önemli bir savunmadır; ancak tüm MFA yöntemleri aynı korumayı sağlamaz. CISA, push bildirimi, SMS ve tek kullanımlık kodların sosyal mühendislik veya araya girme saldırılarına karşı phishing-resistant yöntemlerden daha zayıf olabileceğini belirtir.

Saldırı nasıl ilerler?

1. Parola phishing, parola tekrar kullanımı, zararlı yazılım veya başka bir ihlalden elde edilir.
2. Saldırgan gerçek giriş ekranında kullanıcı adı ve parolayı dener.
3. Hedef cihaza art arda MFA push bildirimleri gönderilir.
4. Sahte destek çalışanı arayarak bildirimin test, bakım veya güvenlik işlemi olduğunu söyler.
5. Kullanıcı isteği onaylarsa saldırgan oturum veya token elde eder.

Beklenmeyen MFA isteğinde ne yapmalısınız?

1. Onaylamayın: Bildirimi reddedin; kod veya ekrandaki numarayı kimseyle paylaşmayın.
2. Aramayı sonlandırın: Arayan kişi destek olduğunu söylese bile aynı konuşmada işlem yapmayın.
3. Resmi kanalı açın: Kurum içi portal, bilinen numara veya güvenlik bildirim aracını kendiniz kullanın.
4. Parolayı değiştirin: Güvenilir cihaz ve resmi giriş adresinden benzersiz parola belirleyin.
5. Oturumları inceleyin: Kurum prosedürü kapsamında aktif oturum, yeni cihaz ve hesap ayarlarını kontrol ettirin.

Kurumlar push yorgunluğunu nasıl azaltabilir?

Phishing-resistant MFA'ya geçiş

FIDO/WebAuthn güvenlik anahtarları veya platform authenticator'ları, doğrulamayı gerçek siteyle kriptografik olarak bağlayabilir. CISA, kritik ve ayrıcalıklı hesaplardan başlayarak phishing-resistant MFA kullanımını önerir.

Number matching ve bağlam

Geçiş tamamlanana kadar number matching, uygulama adı ve giriş konumu gibi bağlam göstermek yanlışlıkla onayı azaltabilir. Konum tek başına güven kanıtı değildir ve görüntülenen numara telefonda arayan kişiye söylenmemelidir.

Oran sınırlama ve alarm

Kısa sürede tekrarlanan push taleplerini sınırlayın, reddedilen istekleri güvenlik sinyaline dönüştürün ve olağan dışı ülke/cihaz/oturum örüntülerini inceleyin.

Legacy authentication kapatma

MFA'yı atlayabilen eski protokoller ve uygulama parolaları envantere alınmalı; iş ihtiyacı yoksa devre dışı bırakılmalıdır.

Destek masası da saldırı yüzeyidir

Saldırgan MFA cihazı değiştirmek veya parola sıfırlamak için destek ekibini hedefleyebilir. Help desk, yalnız kolayca bulunabilen çalışan bilgileriyle kimlik doğrulamamalıdır. Kritik sıfırlamalar için kayıtlı kanal, güçlü doğrulama, ikinci onay ve denetim kaydı uygulanmalıdır.

• Destek çalışanı parola veya MFA kodu istemez.
• Yeni cihaz kaydı için mevcut güvenilir faktör ya da kontrollü kurtarma süreci gerekir.
• Ayrıcalıklı hesap sıfırlamaları için daha yüksek güvence seviyesi uygulanır.
• Kullanıcıya işlem sonrası bağımsız bildirim gönderilir.