Pesquisadores ignoram com sucesso as proteções 2FA baseadas em SMS

Foi sugerido que o uso de um sistema 2FA ajudará a proteger os usuários contra hackers. Até certo ponto isso é verdade porque os sistemas 2FA adicionam um nível adicional de segurança com um código gerado uma vez que seria impossível adivinhar. No entanto, parece que os pesquisadores que trabalham em nome do governo iraniano podem ter encontrado uma maneira de contornar isso.

Em um relatório do Certfa Lab (via ArsTechnica), os pesquisadores foram bem-sucedidos em contornar os sistemas 2FA baseados em SMS, usados ​​pelos gostos do Yahoo Mail e do Gmail. Como isso funcionou, os pesquisadores usaram um ataque de phishing que primeiro tentou obter a senha do usuário. No caso em que o usuário tinha um sistema 2FA no lugar, eles foram redirecionados para uma nova página onde a senha gerada uma vez seria inserida.

No entanto, esse site é apenas uma frente e essa informação está sendo roubados pelo hacker em tempo real, permitindo que eles digitem rapidamente a senha na página de login real. Dado que as senhas 2FA expiram após um determinado período de tempo, esse hack precisa ser feito em tempo real para que funcione.

Dito isto, isso parece afetar apenas os sistemas 2FA baseados em SMS. e que os aplicativos 2FA ainda não parecem afetados. De acordo com um representante da Certfa, "Nós vimos que ele tentou contornar o 2fa para o Google Authenticator, mas não temos certeza se eles conseguiram fazer isso ou não." Com certeza, sabemos que hackers contornaram o 2fa via SMS. ”

Via: Ubergizmo