MFA (of ook Multi-Factor Authenticatie) is de afgelopen tijd niet meer weg te denken uit het digitale landschap. De reden daarvoor is vrij eenvoudig: MFA vormt een extra beschermingslaag wanneer je je wil aanmelden bij bepaalde accounts.
Toch zijn veel mensen geen fan van MFA: aanmelden duurt langer en het vereist vaak dat je ook een ander toestel, zoals je telefoon, moet gebruiken.
Maar deze extra beschermingslaag is wel broodnodig: wanneer we rapporten voor cyberbeveiliging nagaan, zien we de jongste jaren een enorme stijging in cybercriminaliteit. Zo was er vorig jaar per seconde een gemiddelde van 4000 aanvallen op een Microsoft Cloud identiteit.
Per dag komt dit neer op maar liefst 345 miljoen aanvallen. En dit is dan nog maar alleen Microsoft Cloud…
Waarom MFA?
Onze cloud identiteit is meer en meer een verlengstuk van onze echte identiteit geworden.
Denk maar even aan alle applicaties, platformen en websites waar we gevoelige persoonlijke data loggen en waarbij onze gebruikersnaam (identiteit) gelijk staat aan onze e-mail. Wanneer aanvallers succesvol inloggen op jouw account, hebben zij zomaar al jouw gevoelige, persoonlijke data tot beschikking.
Niets staat hen dan in de weg om deze data:
- Te gebruiken om je identiteit te stelen;
- Te verkopen;
- Te gijzelen om vervolgens losgeld te vragen om deze data terug vrij te geven. Dit wordt ook wel een ransomware aanval genoemd;
- Te gebruiken om jou of je bedrijf (reputatie)schade te berokkenen door berichten in jouw naam uit te sturen;
- …
Een succesvolle aanval op jouw cloud identiteit kan zo enorme financiële en juridische gevolgen hebben.
Gelet op het toenemende aantal aanvallen is het niet zozeer de vraag óf je eens het doel zal worden van een aanval, maar wel wanneer. Tel dit samen met de ernst van de gevolgen en je begrijpt waarom de extra bescherming die MFA biedt absoluut essentieel is.
Hoe helpt MFA mijn identiteit beschermen?
Door het instellen en toepassen van MFA apps, zoals de Microsoft Authenticator App, gaan we al een groot deel van mogelijke aanvallen afweren. We gaan, zoals men het mooi zegt, de aanvalsvector verkleinen. Dit omdat we zo meerdere factoren laten bepalen of jij het inderdaad bent die probeert aan te melden.
Dit betekent inderdaad dat het invullen van een wachtwoord niet langer volstaat en er dus een extra beveiligingsfactor nodig is, zoals een sms naar je telefoon of een code via de Microsoft Authenticator App. Dit duurt iets langer, maar is de extra beveiliging meer dan waard.
In onderstaande afbeelding zien we bijvoorbeeld dat het gebruik van een paswoord in combinatie met de Microsoft Authenticator App al een sterke tot zeer sterke beveiliging kan bieden:
Ik heb MFA! We zijn nu 100% beschermd… Of toch niet?
Hoewel het gebruik van Multifactor Authenticatie de beveiliging van een online identiteit enorm zal boosten, kunnen en mogen we er niet van uitgaan dat we hierdoor volledig beschermd zijn.
Hackers gaan namelijk steeds op zoek naar manieren om ook de extra beveiliging te kunnen manipuleren en/of te omzeilen. Deze methoden en technieken vergen uiteraard wel al een grotere inspanning wanneer hackers door een MFA-laag willen inbreken.
Op het moment van schrijven wijzen studies uit dat tot 99,9% van aanvallen kunnen afgeschermd worden door het gebruik van bovenstaande “Beste” methode, de “Passwordless”-methode (zie foto met tabel).
En dan is er ook nog een verschil tussen de manieren van authenticatie. Een Authenticator app biedt een sterkere beveiliging dan een SMS, maar er is zelfs nog een verschil tussen de Authenticator apps. Apps zoals Bitwarden, Google Authenticator en dergelijke hebben absoluut meerwaarde, maar bieden een minder solide beschermingslaag dan de Microsoft Authenticator App.
“Een Authenticator app biedt een sterkere beveiliging dan een SMS, maar er is zelfs nog een verschil tussen de Authenticator apps.”
99,9%… Wat voor gevaar is er dan nog?
0,1% staat nog steeds garant voor maar liefst 345 000 aanvallen per dag. Deze aanvallen vormen trouwens de grootste dreiging, want ze trachten ook MFA te omzeilen.
Klaar om wat dieper te duiken? We bespreken kort een aantal van de methodes waarop cybercriminelen MFA proberen te omzeilen:
- Criminelen kunnen gebruik maken van een OTP (One-Time Password) bot. Hierbij zal men proberen om een One-Time-Password (d.i. een éénmalige code die wordt gegeven bij het resetten van een wachtwoord of om je account te verifiëren) te bemachtigen of onderscheppen.
Men maakt hiervoor vaak gebruik van zogenoemde Robocalls waarbij men jou contacteert en aangeeft dat jouw account verdachte activiteit vertoont. Bijgevolg moet je dan je account verifiëren door een OTP in te geven, waardoor de cyberaanvaller in het bezit komt van jouw OTP-code en dus probleemloos in kan loggen op jouw account. Naast het gebruik van Robocalls is ook het versturen van phishing mails een veelgebruikte manier om de OTP-code van je account te bemachtigen.
- Een tweede methode die cybercriminelen gebruiken om MFA te omzeilen is inspelen op de zogeheten MFA-vermoeidheid. Hierbij zal de aanvaller proberen jou zodanig te overspoelen met MFA-vragen (“MFA prompts”) dat je, door het risico van herhaling, minder waakzaam bent en zonder te verifiëren een toegang zal goedkeuren.Hierdoor kan de aanvaller volledige toegang tot jouw account krijgen, met vaak ernstige problemen tot gevolg. Hoewel bedrijven als Microsoft deze manieren snel kunnen detecteren en blokkeren, blijft het belangrijk om steeds waakzaam te zijn tijdens het MFA-proces en bewust te valideren waarvoor je jouw validatie precies moet geven.
- Active tokens hergebruiken of dupliceren. Bij deze wat complexere methode zal de aanvaller door middel van bovenstaande methodes (MFA-vermoeidheid, phishing, malware, …) proberen om jouw huidige paswoord en MFA-sessie te dupliceren. Deze methode is bezig aan een heuse opmars.
Er zijn nog een aantal andere methodes waarop cybercriminelen Multi-Factor Authentication proberen te omzeilen, maar we gaven hier alvast onze top 3.
Het is belangrijk om te beseffen dat hackers steeds slimmer worden en dus nieuwe methodes zullen ontwikkelen om in te breken in je account, ook al is deze beschermd met MFA.
Hoe maak je dan optimaal gebruik van MFA?
We geven tot slot graag een aantal concrete best practices mee die het gebruik van jouw online identiteit beter beschermen:
✅Maak gebruik van de Authenticator applicaties zoals de Microsoft Authenticator, en vertrouw niet enkel op het gebruik van een SMS als extra beschermingslaag. Een SMS is al een verbetering, maar minder veilig dan een Authenticator app;
✅Deel nooit beveiligingscodes;
✅Maak gebruik van password managers, zoals LastPass, Bitwarden en Keeper;
✅Kies complexe wachtwoorden voor je accounts. Het is cliché, maar een wachtwoord dat zowel hoofdletters, kleine letters, cijfers als speciale tekens bevat is inderdaad veel veiliger. Acroniemen of letterwoorden als wachtwoord gebruiken is een populair middel om je complexe wachtwoorden te helpen onthouden;
✅Creëer een nieuw, uniek wachtwoord voor elk account. Zo vermijd je inbreuk op meerdere accounts wanneer een hacker één wachtwoord te weten komt.
Voor bedrijven en werkgevers is het tot slot ook essentieel om regelmatig met de IT-dienst of -partner te overleggen over mogelijke interne of externe trainingen rond cyberbeveiliging voor personeel en management.
Nog vragen hierover? Contacteer ons dan gerust via mail (support@flexamit.com) of telefoon (03 500 10 10).
