Zestawy phishingowe działają jak odwrotne proxy: ofiara widzi przekonującą stronę, wprowadza poświadczenia i kończy MFA na prawdziwej witrynie przez przekaźnik atakującego, a atakujący uzyskuje użyteczne ciasteczko sesji. To pokonuje kody SMS, hasła jednorazowe i zatwierdzenia push — składniki są poprawne, ale są przekazywane zamiast związane z legalnym źródłem.
Granica obrony to wiązanie kryptograficzne, a nie lepsza ocena. Uwierzytelnianie odporne na phishing — passkey, FIDO2/WebAuthn, metody oparte na certyfikatach — wiąże odpowiedź poświadczenia z legalnym źródłem, więc proxywana strona nie otrzymuje niczego do odtworzenia. Zabezpieczenia sesji skracają okno nawet wtedy, gdy token zostanie skradziony.
Najważniejsze punkty
MechanizmAtakujący przekazuje prawdziwy przepływ logowania w czasie rzeczywistym, zbiera poświadczenia i token sesji po uwierzytelnieniu, a następnie używa sesji z własnej infrastruktury.
Sygnały wykrywaniaNiemożliwa podróż lub nietypowa geografia logowania, nowe cechy sesji po niedawnym logowaniu, ponowne użycie tokenu z nieoczekiwanych klientów oraz sama infrastruktura domeny phishingowej.
ObronaPreferuj uwierzytelniacze odporne na phishing dla użytkowników wysokiego ryzyka, wiąż i skracaj sesje, alarmuj o ponownym użyciu tokenów i nietypowych właściwościach sesji oraz unieważniaj sesje przy podejrzeniu.
Istotne ograniczenieUwierzytelnianie odporne na phishing chroni wymianę poświadczeń, a nie sesję po niej. Skradziony token po uwierzytelnieniu, złośliwa zgoda OAuth lub skompromitowany punkt końcowy nadal daje dostęp bez pokonywania jakiegokolwiek składnika.