Kiturile de phishing acționează ca reverse proxy-uri: victima vede o pagină convingătoare, introduce credențialele și completează MFA pe site-ul real prin releul atacatorului, iar atacatorul obține un cookie de sesiune utilizabil. Aceasta învinge codurile SMS, parolele de unică folosință și aprobările push — factorii sunt corecți, dar sunt retransmiși, nu legați de originea legitimă.
Frontiera de apărare este legarea criptografică, nu judecata mai bună. Autentificarea rezistentă la phishing — passkeys, FIDO2/WebAuthn, metode bazate pe certificate — leagă răspunsul credențialei de originea legitimă, așa că o pagină retransmisă nu primește nimic rejucabil. Protecțiile de sesiune scurtează fereastra chiar și când un token este furat.
Puncte esențiale
MecanismAtacatorul retransmite fluxul real de autentificare în timp real, recoltează credențialele și tokenul de sesiune post-autentificare, apoi folosește sesiunea de pe propria infrastructură.
Semnale de detectareGeografie de autentificare imposibilă sau anormală (impossible travel), caracteristici noi de sesiune după un login recent, reutilizarea tokenurilor de la clienți neașteptați și infrastructura de domenii de phishing în sine.
ApărarePreferați autentificatori rezistenți la phishing pentru utilizatorii cu risc mare, legați și scurtați sesiunile, alertați la reutilizarea tokenurilor și proprietăți anormale de sesiune și revocați sesiunile la suspiciune.
Limitare importantăAutentificarea rezistentă la phishing protejează schimbul de credențiale, nu sesiunea de după el. Un token post-autentificare furat, un consimțământ OAuth malițios sau un endpoint compromis acordă totuși acces fără a învinge vreun factor.