核心观点与关键数据
- 多重身份验证（MFA）的局限性：尽管MFA被广泛认为是增强账户安全的有效措施，但近年来犯罪分子已发展出多种方法绕过MFA，导致账户接管事件频发。CISA在2020年SolarWinds攻击后发出警告，指出MFA被绕过的情况日益普遍，尤其是在远程工作模式下。
- 被盗凭证的威胁：根据SpyCloud的2022年身份凭证曝光报告，信息窃取型恶意软件的日志在论坛和聊天组中激增，犯罪分子通过窃取凭证（如用户名/密码）来绕过MFA。超过1.7亿对被盗凭证被重新捕获，其中80%的违规行为涉及被盗凭证。
- MFA绕过方法：
- 会话劫持：攻击者通过恶意软件、中间人攻击或钓鱼链接窃取会话Cookie，从而接管用户网络会话。
- 锻造识别设备：攻击者伪造被应用程序识别的设备签名，绕过MFA验证。
- 网络钓鱼电子邮件：犯罪分子通过技术支援骗局或伪造登录页面，窃取验证代码和用户凭证。
- 窃取一次性密码（OTP）：通过钓鱼网站诱使受害者提供OTP，从而接管账户。
- SIM交换攻击：攻击者通过欺骗电话运营商，将受害者的电话号码转移到自己控制的设备上，拦截MFA短信验证码。
- 回答安全问题：利用社交媒体和数据泄露中暴露的PII，猜测MFA安全问题的答案。
研究结论与建议
- MFA的必要性：尽管存在局限性，MFA仍是保护账户安全的重要措施，但需结合其他安全措施共同防御。
- 增强验证层次：建议采用生物识别技术或硬件令牌，结合MFA增强验证强度。
- 风险管理策略：制定详细的风险管理计划，定期审核和更新MFA策略，建立应急响应流程。
- 用户教育与培训：定期进行安全意识培训，提高用户对社交工程攻击的防范能力。
- 基于风险的身份验证（RBA）：结合登录点的独特识别因素（如设备配置、地理位置）触发额外验证挑战。
- 恶意软件防护：加强恶意软件防护，保护设备免受攻击。
- 证件暴露监测：通过SpyCloud等解决方案，早期检测并自动重置被攻破的密码，废止被攻破的网页会话，消除被盗数据的价值。
- 综合防御：结合NIST指南、人力情报（HUMINT）技术和自动化数据操作，构建主动防御体系。
总结
MFA作为账户安全的重要措施，但其有效性受限于被盗凭证和多种绕过方法。犯罪分子通过会话劫持、网络钓鱼、SIM交换等技术绕过MFA，导致账户接管和数据泄露。为增强安全性，组织需结合生物识别、风险管理、用户教育和RBA等措施，并利用证件暴露监测等技术早期预警和自动修复。通过综合防御策略，可有效降低账户被非法访问的风险。
