Pembaca seperti Anda membantu mendukung MUO. Saat Anda melakukan pembelian menggunakan tautan di situs kami, kami dapat memperoleh komisi afiliasi.
Meningkatnya insiden pencurian kredensial telah memaksa perusahaan untuk menerapkan otentikasi multi-faktor (MFA) untuk melindungi karyawan mereka dari implikasi parah pencurian kata sandi. Tetapi peretas sekarang melakukan serangan kelelahan MFA untuk menghindari lapisan perlindungan tambahan ini.
Jadi apa itu kelelahan MFA? Bagaimana cara kerja serangan ini? Dan apa yang dapat Anda lakukan untuk melindungi diri sendiri?
Apa itu Serangan Kelelahan MFA?
Serangan kelelahan MFA melibatkan membombardir pemilik akun tanpa henti dengan pemberitahuan push MFA sampai mereka tergelincir atau lelah secara psikologis dan menyetujui permintaan login.
Setelah permintaan MFA disetujui, peretas dapat mengakses akun pengguna dan menyalahgunakannya sesuka mereka.
Tujuan utama dari serangan semacam itu adalah untuk mengirimkan rentetan pemberitahuan push MFA yang tak ada habisnya untuk menimbulkan rasa lelah pada pemilik akun.
Pada waktunya, kelelahan MFA ini membuat pemilik akun menyetujui permintaan masuk secara tidak sengaja atau sengaja untuk menghentikan notifikasi push MFA.
Bagaimana Serangan Kelelahan MFA Bekerja
Dengan semakin banyak aplikasi dan layanan mengadopsi otentikasi multi-faktor, menyetujui pemberitahuan push MFA dapat menjadi tugas rutin saat pemilik akun harus menyetujui permintaan MFA beberapa kali dalam sehari. Akhirnya, menyetujui pemberitahuan push MFA setiap hari dapat membuat pemilik akun lalai.
Selain itu, membombardir pemberitahuan MFA secara terus-menerus dapat melemahkan pemilik akun, mendorong mereka untuk menyetujui permintaan masuk, hanya untuk menghentikan pemberitahuan agar tidak mengganggu mereka.
Karena pemegang akun sering menggunakan aplikasi autentikator di ponsel cerdas mereka, peretas dapat menargetkannya 24/7 untuk melemahkannya.
Apa yang Terjadi dalam Serangan Kelelahan MFA?
Langkah pertama serangan kelelahan MFA adalah mendapatkan kredensial login pengguna akun. ada banyak trik umum untuk meretas kata sandi, termasuk serangan phishing, spidering, dan brute force.
Setelah penyerang memiliki kredensial masuk pengguna, mereka membombardir mereka dengan permintaan autentikasi multi-faktor.
Para penyerang berharap bahwa:
- Pengguna akan menyetujui upaya login secara tidak sengaja.
- Pengguna akan menyerah karena tekanan psikologis yang diberikan oleh aliran permintaan MFA yang tak ada habisnya.
Serangan kelelahan MFA dapat dengan mudah diotomatisasi. Dan sering, rekayasa sosial dikombinasikan dengan serangan kelelahan MFA untuk membuat serangan berhasil.
Misalnya, pengguna target menerima email phishing yang meminta pengguna untuk menyetujui permintaan MFA. Email phishing juga dapat memberi tahu target bahwa mereka mungkin mendapatkan rentetan permintaan MFA dalam beberapa hari mendatang karena sistem keamanan baru sedang diterapkan. Email selanjutnya dapat menyatakan bahwa permintaan MFA akan berhenti setelah pemilik akun menyetujui upaya login.
Bagaimana Melindungi Dari Serangan Kelelahan MFA
Berikut adalah beberapa cara untuk tetap aman dari serangan kelelahan MFA.
1. Aktifkan Konteks Tambahan
Mengaktifkan konteks tambahan dalam permintaan MFA dapat menawarkan keamanan yang lebih baik dan melindungi Anda dari serangan kelelahan MFA.
Konteks tambahan dalam permintaan MFA membantu Anda memahami akun mana yang memicu notifikasi MFA, waktu hari itu saat upaya login dilakukan, perangkat yang digunakan untuk mencoba login, dan lokasi perangkat tempat upaya login dilakukan dibuat.
Jika Anda melihat beberapa permintaan MFA dipicu dari lokasi atau perangkat yang tidak dikenal saat Anda tidak mencoba masuk ke akun, itu adalah tanda bahwa pelaku ancaman sedang mencoba mengirim spam kepada Anda. Anda harus segera ubah kata sandi akun itu dan beri tahu departemen TI Anda jika terkait dengan jaringan perusahaan.
Banyak aplikasi MFA mengaktifkan fitur ini secara default. Jika aplikasi autentikator Anda tidak menampilkan konteks tambahan, masuk ke pengaturan aplikasi Anda untuk memeriksa apakah ada opsi untuk mengizinkan konteks tambahan.
2. Mengadopsi Otentikasi Berbasis Risiko
Menggunakan aplikasi autentikator dengan kemampuan autentikasi berbasis risiko dapat membantu bertahan dari serangan kelelahan MFA. Aplikasi semacam itu dapat mendeteksi dan menganalisis sinyal ancaman berdasarkan pola serangan yang diketahui dan menyesuaikan persyaratan keamanan yang sesuai.
Pola ancaman yang diketahui termasuk tetapi tidak terbatas pada lokasi yang tidak biasa dari upaya login, kegagalan login berulang, pelecehan push MFA, dan banyak lagi.
Periksa apakah aplikasi MFA Anda menawarkan autentikasi berbasis risiko. Jika ya, aktifkan untuk tetap terlindungi dari MFA push spamming.
3. Terapkan Otentikasi FIDO2
Mengadopsi FIDO2 bentuk otentikasi di perusahaan mana pun dapat mencegah serangan kelelahan MFA.
FIDO2 memberi pengguna otentikasi tanpa kata sandi dan otentikasi multi-faktor berdasarkan biometrik. Karena kredensial masuk Anda tidak meninggalkan perangkat Anda, ini menghilangkan risiko pencurian kredensial, sehingga pelaku ancaman tidak dapat melakukan spam pemberitahuan MFA.
4. Nonaktifkan Pemberitahuan Push sebagai Metode Verifikasi
Fitur pemberitahuan push MFA dirancang untuk menawarkan kemudahan penggunaan. Pemilik akun hanya perlu mengklik "Ya" atau "Izinkan" untuk masuk ke akun mereka.
Serangan kelelahan MFA mengeksploitasi fitur aplikasi autentikator ini. Menonaktifkan pemberitahuan push sederhana ini sebagai metode verifikasi di aplikasi autentikator Anda adalah cara yang terbukti untuk meningkatkan keamanan MFA.
Berikut adalah beberapa metode yang dapat Anda gunakan untuk memverifikasi permintaan MFA:
- Pencocokan angka.
- Tantangan dan respons.
- Kata sandi satu kali berbasis waktu.
Keuntungan menggunakan sandi satu kali pencocokan nomor atau berbasis waktu sebagai metode verifikasi adalah pengguna tidak dapat menyetujui permintaan MFA secara tidak sengaja; mereka akan memerlukan informasi yang diperlukan untuk menyelesaikan proses verifikasi.
Periksa aplikasi autentikasi Anda untuk mengetahui fitur verifikasi MFA mana yang dapat Anda gunakan sebagai pengganti pemberitahuan push sederhana, yang mendorong pengguna untuk mengeklik "Ya" atau "Izinkan" untuk menyetujui upaya masuk.
5. Batasi Permintaan Otentikasi
Membatasi jumlah permintaan masuk di aplikasi autentikator dapat membantu mencegah pengeboman cepat atau kelelahan MFA. Tetapi tidak semua autentikator menawarkan fitur ini.
Periksa apakah autentikator MFA memungkinkan Anda membatasi permintaan autentikasi; setelah itu, akun akan diblokir.
6. Sebarkan Kesadaran Keamanan di Sekitar MFA
Jika Anda menjalankan perusahaan, cara terbaik untuk menggagalkan serangan kelelahan MFA adalah pelatihan kesadaran keamanan. Pastikan karyawan Anda mengetahui seperti apa serangan kelelahan MFA itu dan apa yang harus dilakukan ketika itu terjadi. Selain itu, mereka harus dapat menemukan email phishing, meminta mereka untuk menyetujui permintaan MFA.
Melatih karyawan Anda secara teratur tentang praktik keamanan siber terbaik sangat membantu dalam melindungi akun.
Jangan Didorong Menjadi Kesalahan
Autentikasi multifaktor menambahkan lapisan keamanan ekstra ke akun Anda. Itu akan melindungi akun Anda bahkan jika aktor ancaman mendapat akses ke kredensial login Anda. Tetapi Anda harus berhati-hati terhadap serangan kelelahan MFA. Ini mungkin mengganggu, tapi jangan menyerah.
