Un atacator poate să se autentifice cu credențiale furate, să deturneze o sesiune autentificată, să abuzeze de recuperarea contului, să convingă personalul de suport să reseteze accesul sau să schimbe detaliile de autentificare și de contact după obținerea unui punct de sprijin inițial.
ATO poate afecta conturi personale, de angajați, de administratori, de serviciu și de furnizori. Consecințele depind de permisiunile și relațiile contului: un atacator poate fura date sau fonduri, impersona titularul, aproba tranzacții, schimba setări de securitate, înșela contacte sau folosi un cont de încredere pentru a ajunge la alte sisteme. Răspunsul trebuie să adreseze atât recuperarea accesului, cât și acțiunile întreprinse prin cont.
Puncte esențiale
Semne de avertizareAutentificări nerecunoscute, modificări de profil sau de recuperare, autentificatori noi, mesaje sau tranzacții neașteptate, acces din infrastructură neobișnuită și pierdere inexplicabilă a accesului.
PrevențieFolosiți autentificare rezistentă la phishing acolo unde este practic, protejați procesele de recuperare și de help-desk, limitați privilegiile, gestionați sesiunile și notificați utilizatorii despre modificările sensibile.
RăspunsRevocați sesiunile și tokenurile, resetați sau înlocuiți autentificatorii afectați, eliminați modificările neautorizate, revizuiți activitatea, păstrați dovezile și verificați conturile și aplicațiile conectate.
Limitare importantăO autentificare reușită nu este o dovadă că titularul legitim acționează. Unele preluări reutilizează o sesiune validă sau o cale de recuperare și, prin urmare, nu produc niciun eveniment de parolă greșită sau de MFA.