Spamming MFA et fatigue : lorsque les mesures de sécurité tournent mal

Dans le paysage numérique actuel, les systèmes traditionnels d’authentification par mot de passe se sont révélés vulnérables à un large éventail de cyberattaques. Pour protéger les ressources commerciales critiques, les organisations se tournent de plus en plus vers l’authentification multifacteur (MFA) comme mesure de sécurité plus robuste. MFA exige que les utilisateurs fournissent plusieurs facteurs d’authentification pour vérifier leur identité, offrant ainsi une couche de protection supplémentaire contre les accès non autorisés.

Cependant, les cybercriminels cherchent sans relâche à trouver des moyens de contourner les systèmes MFA . L’une de ces méthodes qui gagne du terrain est celle des attaques de spam MFA, également connues sous le nom de fatigue MFA ou bombardement MFA . Cet article se penche sur les attaques de spam MFA, y compris les meilleures pratiques pour atténuer cette menace croissante.

Qu’est-ce que le spam MFA ?#

Le spam MFA fait référence à l’acte malveillant consistant à inonder la messagerie, le téléphone ou d’autres appareils enregistrés d’un utilisateur cible avec de nombreuses invites ou codes de confirmation MFA. L’objectif de cette tactique est de submerger l’utilisateur de notifications, dans l’espoir qu’il approuve par inadvertance une connexion non autorisée. Pour exécuter cette attaque, les pirates ont besoin des informations d’identification du compte de la victime cible (nom d’utilisateur et mot de passe) pour lancer le processus de connexion et déclencher les notifications MFA.

Techniques d’attaque par spam MFA#

Il existe différentes méthodes utilisées pour exécuter des attaques de spam MFA, notamment :

1. Utiliser des outils ou des scripts automatisés pour inonder les appareils des victimes ciblées avec un volume élevé de demandes de vérification.
2. Utiliser des tactiques d’ingénierie sociale pour tromper l’utilisateur cible et lui faire accepter une demande de vérification.
3. Exploiter l’API du système MFA pour envoyer un nombre important de fausses demandes d’authentification à l’utilisateur cible.

En employant ces techniques, les attaquants visent à exploiter toute approbation involontaire, pour finalement obtenir un accès non autorisé à des informations ou à des comptes sensibles.

Exemples d’attaques de spam MFA#

Les pirates informatiques exploitent de plus en plus les attaques de spam MFA pour contourner les systèmes MFA. Voici deux cyberattaques notables exécutées à l’aide de cette technique :

• Entre mars et mai 2021, des pirates ont contourné l’ authentification multifacteur SMS de la société Coinbase , considérée comme l’une des plus grandes sociétés d’échange de cryptomonnaies au monde, et ont volé des cryptomonnaies à plus de 6 000 clients.
• En 2022, les pirates ont inondé les clients de Crypto.com d’un grand nombre de notifications pour retirer de l’argent de leur portefeuille. De nombreux clients approuvent les demandes de transactions frauduleuses par inadvertance, entraînant une perte de 4 836,26 ETH, 443,93 BTC et environ 66 200 USD dans d’autres crypto-monnaies.

Comment atténuer les attaques de spam MFA#

L’atténuation des attaques de spam MFA nécessite la mise en œuvre de contrôles techniques et l’application de politiques de sécurité MFA pertinentes. Voici quelques stratégies efficaces pour prévenir de telles attaques.

Appliquez des politiques de mots de passe strictes et bloquez les mots de passe violés#

Pour que l’attaque de spam MFA réussisse, l’attaquant doit d’abord obtenir les informations de connexion de l’utilisateur cible. Les pirates utilisent diverses méthodes pour acquérir ces informations d’identification, notamment les attaques par force brute, les e-mails de phishing, le credential stuffing et l’achat d’informations d’identification volées/piratées sur le dark web.

La première ligne de défense contre le spam MFA consiste à sécuriser les mots de passe de vos utilisateurs. La politique de mot de passe Specops avec protection contre les violations de mot de passe aide à empêcher les utilisateurs d’utiliser des informations d’identification compromises, réduisant ainsi le risque que des attaquants obtiennent un accès non autorisé à leurs comptes.

Formation des utilisateurs finaux#

Le programme de formation des utilisateurs finaux de votre organisation doit souligner l’importance de vérifier soigneusement les demandes de connexion MFA avant de les approuver. Si les utilisateurs rencontrent un nombre important de demandes MFA, cela devrait éveiller les soupçons et servir d’indice potentiel d’une cyberattaque ciblée. Dans de tels cas, il est crucial d’informer les utilisateurs sur les mesures immédiates qu’ils doivent prendre, notamment la réinitialisation des identifiants de leur compte par mesure de précaution et la notification aux équipes de sécurité. En tirant parti d’une solution de réinitialisation de mot de passe en libre-service comme Specops uReset , les utilisateurs finaux ont la possibilité de modifier rapidement leurs mots de passe, minimisant ainsi la fenêtre d’opportunité des attaques de spam MFA.

Limitation du débit#

Les organisations doivent mettre en œuvre des mécanismes de limitation de débit qui limitent le nombre de demandes d’authentification autorisées à partir d’un seul compte utilisateur dans un délai spécifique. Ce faisant, les scripts automatisés ou les robots ne parviennent pas à submerger les utilisateurs avec un nombre excessif de requêtes.

Surveillance et alerte#

Mettez en œuvre des systèmes de surveillance robustes pour détecter et alerter sur les modèles inhabituels de demandes MFA. Cela peut aider à identifier les attaques potentielles de spam en temps réel et permettre de prendre des mesures immédiates.

Points clés à retenir#

Pour se protéger efficacement contre le spam MFA, les organisations doivent donner la priorité à des pratiques de sécurité robustes. Une tactique efficace consiste à renforcer les politiques de mots de passe et à bloquer l’utilisation de mots de passe compromis. La mise en œuvre d’une solution telle que la fonctionnalité de protection par mot de passe en cas de violation de Specops Password Policy peut aider les organisations à y parvenir.

Essayez-le gratuitement ici et découvrez comment vous pouvez améliorer la sécurité de votre mot de passe et protéger votre organisation contre les attaques de spam MFA.