כל הכתבות של CyberNow בנושא אימות דו-שלבי — 25 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
mSeven Software שלחה ללקוחות mSecure, נוכחיים ולשעבר, בקשה להחליף סיסמאות, לאפס אימות דו-שלבי ולהסיר passkeys. מה שההודעה לא אומרת זה מה קרה, מתי, ואם מידע של מישהו נחשף בפועל.
חולשה ב-Microsoft Authenticator לאנדרואיד אפשרה לאפליקציה זדונית להתחזות לאפליקציה של מיקרוסופט ולקבל גישה לדואר, לקבצים וליומן של חשבון העבודה. מיקרוסופט תיקנה בספטמבר, הפרטים הטכניים פורסמו ב-23 באוקטובר, ולפי החברה החולשה לא נוצלה.
החוקר שמפרסם בכינוי Ovi מתאר ערכה לאנדרואיד בשם uCreator, שמוחדרת לעותקים עובדים של טלגרם ו-WeChat ומעתיקה את סיסמת האימות הדו-שלבי לפני שהאפליקציה מצפינה אותה. הרכיב של טלגרם זהה ל-Baohuo, דלת אחורית שחברת Doctor Web מצאה לפני שנה ביותר מ-58 אלף מכשירים, וכל העותקים הנגועים הופצו מחוץ לחנויות הרשמיות.
במקום לנחש סיסמאות, התוקפים אספו את כרטיסי הכניסה שהשירות מנפיק אחרי אימות מוצלח והריצו אותם אוטומטית מול Microsoft 365. לפי Huntress, 497 התחברויות הצליחו, ובחשבונות שנפרצו נמחק האימות הדו-שלבי של הקורבן.
רשות הסייבר הצרפתית פרסמה את התחקיר על הפריצה לרשות המסים: סיסמאות של עובדים נגנבו מהמחשבים הפרטיים שלהם, הפורטלים ביקשו סיסמה בלבד, ואף אחד לא זיהה את הגניבה עד שהתוקף סיפר עליה בפורום.
נוזקת ריגול לאנדרואיד שמופצת דרך עמודים שמחקים את Google Play מעתיקה כל הודעה נכנסת ומדליקה הפניית שיחות. הקמפיין רודף אחרי חברות לוגיסטיקה, אבל הוא מראה היטב כמה שביר קוד האימות שמגיע אליכם ב-SMS.
שירות בתשלום שמכר גישה לחשבונות מיקרוסופט בלי לגנוב אף סיסמה הושבת, ושני חשודים נעצרו בבריטניה. מה שהפך אותו למסוכן במיוחד היה מה שקרה אחרי הפריצה.
מיקרוסופט מפסיקה לספק קודי SMS ושיחות אימות בחשבונות Microsoft 365 של ארגונים, ומעבירה את המשתמשים ל-passkey. הסיבה שהיא נותנת רלוונטית גם למי שאין לו חשבון עבודה.
אחרי שהתחברתם לחשבון, מה ששומר אתכם בפנים זו לא הסיסמה אלא חיבור פתוח ששמור אצלכם במכשיר. מי שמעתיק אותו נכנס בלי סיסמה ובלי קוד אימות.
מיקרוסופט מתארת קמפיין שפועל מאז מאי: שיחה לטלפון הפרטי של עובד, הסבר דחוף על passkey שצריך עדכון, וקישור שמוביל לעמוד התחברות מזויף. הפרט המעניין הוא שהתוקפים לא ניסו בכלל לרשום passkey, הם רק השתמשו במילה.