Os cinco principais (5) riscos da autenticação multifator baseada em SMS

Como veteranos em segurança cibernética, os vCISOs da CyberHoot têm acompanhado a evolução das técnicas de Autenticação Multifator (MFA) ao longo dos anos. Embora a MFA baseada em SMS tenha sido amplamente utilizada por sua conveniência e facilidade de implementação, ela apresenta diversas vulnerabilidades que podem ser exploradas por invasores. Neste blog, discutiremos os riscos associados à MFA baseada em SMS, incluindo falta de criptografia, interrupções na rede, ataques SS7, engenharia social e troca de SIM. Além disso, recomendaremos soluções alternativas de MFA que oferecem maior segurança.

Riscos associados à MFA baseada em SMS:

A MFA baseada em SMS é vulnerável a vários tipos de ataques, o que a torna menos segura do que outros métodos de MFA. A falta de criptografia nas mensagens SMS, o risco de ataques SS7, engenharia social e troca de SIM são riscos significativos associados à MFA baseada em SMS.

Falta de criptografia:

As mensagens SMS não são criptografadas e, como resultado, podem ser interceptadas e lidas por invasores. Se a mensagem SMS contiver informações confidenciais, como um código de autenticação de seis dígitos, ela poderá ser usada por invasores para obter acesso à conta visada.

Interrupções de rede

As redes de operadoras de telefonia móvel não estão imunes a interrupções que tornam o SMS indisponível. Essas interrupções, embora raras, podem ocorrer enquanto a internet estiver ativa e funcionando, impedindo você de acessar suas contas críticas em caso de emergência.

Ataque ao Sistema de Sinalização 7 (SS7):

SS7 significa Sistema de Sinalização 7, um protocolo implantado pela primeira vez em 1988 e atualizado pela última vez em 1993 (há 30 anos). É usado por empresas de telecomunicações para trocar informações entre redes de operadoras de telefonia móvel. Hackers podem explorar vulnerabilidades no SS7 para interceptar e redirecionar mensagens SMS destinadas ao destinatário pretendido. Esse ataque é conhecido como ataque SS7. Ele permite que invasores interceptem o processo de MFA e obtenham acesso às credenciais de segundo fator das contas alvo. Combinado com uma senha reutilizada, os hackers podem obter acesso a contas críticas usando essa forma de proteção MFA.

Engenharia social:

Engenharia social é uma tática usada por invasores para induzir indivíduos a divulgar informações confidenciais. No caso de MFA por SMS, os invasores podem entrar em contato com a operadora de telefonia móvel da vítima e se passar por ela para obter o cartão SIM associado ao seu número de telefone. Com o cartão SIM, o invasor pode receber mensagens SMS destinadas à vítima, ignorando o processo de MFA e obtendo acesso à conta alvo. Outra forma de ataque de cartão SIM é chamada de SIM-Swapping, que examinaremos a seguir.

Troca de SIM:

Troca de SIM é uma técnica usada por invasores para assumir o controle do número de telefone da vítima. Os invasores podem se passar pela vítima para convencer a operadora de telefonia móvel a transferir o número de telefone da vítima para um cartão SIM em sua posse. Com o controle do número de telefone da vítima, o invasor obtém acesso ao segundo fator, um código SMS, e à conta alvo com a senha exposta, reutilizada ou quebrada.

Estes representam os cinco principais riscos para a autenticação multifator baseada em SMS. Vamos nos concentrar nas melhores práticas a serem seguidas caso você precise usar a autenticação multifator por SMS, mesmo que a CyberHoot recomende que você não a utilize mais. Em seguida, apresentaremos métodos alternativos de autenticação multifator muito mais seguros do que a autenticação multifator baseada em SMS.

Melhores práticas para MFA baseado em SMS:

Apesar de suas vulnerabilidades, a MFA baseada em SMS ainda pode fornecer uma camada adicional de segurança quando usada corretamente. Aqui estão algumas práticas recomendadas que podem ajudar a mitigar os riscos associados à MFA baseada em SMS:

1. Use um número de telefone exclusivo e não publicado: Use um número de telefone que não esteja associado a nenhuma outra conta ou serviço e que não seja publicado, se possível, para reduzir o risco de ataques de engenharia social e troca de SIM.
2. Evite usar MFA baseado em SMS para contas de alto risco: Evite usar MFA baseado em SMS para contas que têm acesso a informações confidenciais ou ativos financeiros.
3. Monitore a atividade da conta: Monitore a atividade da conta regularmente e denuncie qualquer atividade suspeita ao provedor de serviços imediatamente.

Melhores soluções alternativas de MFA para SMS MFA:

Para aumentar a segurança da MFA, existem diversas soluções alternativas mais seguras do que a MFA baseada em SMS. Aqui estão alguns exemplos:

1. Aplicativos autenticadores móveisAplicativos autenticadores como Google Authenticator, Microsoft Authenticator e Authy geram uma senha de uso único (TOTP) baseada em tempo que muda a cada 30 segundos. A TOTP é usada como o segundo fator no processo de autenticação, fornecendo uma camada adicional de segurança.
2. Tokens de hardware: Tokens de hardware como YubiKey e RSA SecurID geram um código exclusivo que é usado como segundo fator no processo de autenticação. Esses tokens são mais seguros do que a autenticação multifator (MFA) baseada em SMS e não são vulneráveis a ataques SS7, engenharia social, troca de SIM ou falta de criptografia.
3. Autenticação Biométrica: A autenticação biométrica utiliza características físicas como impressões digitais, reconhecimento facial ou reconhecimento de voz como segundo fator no processo de autenticação. Este método é altamente seguro, pois os dados biométricos são únicos para cada indivíduo e não podem ser facilmente replicados ou roubados. A autenticação biométrica também é conveniente, pois elimina a necessidade de os usuários se lembrarem de senhas ou carregarem tokens.

Conclusões da autenticação multifator:

A MFA baseada em SMS tem sido um método amplamente utilizado para fornecer uma camada adicional de segurança, mas apresenta vulnerabilidades significativas que podem ser exploradas por invasores. Falta de criptografia, interrupções na rede, ataques SS7, engenharia social e troca de SIM são riscos associados à MFA baseada em SMS. Embora existam práticas recomendadas que podem ajudar a mitigar esses riscos, existem soluções alternativas de MFA que oferecem maior segurança, como aplicativos autenticadores móveis, tokens de hardware e autenticação biométrica.

Como veteranos em segurança cibernética, a CyberHoot recomenda que indivíduos e organizações considerem essas soluções alternativas para melhorar sua postura de segurança e proteger suas informações e ativos confidenciais.

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Inscreva-se para assistir

Assista a este vídeo de 2 minutos sobre os 5 principais riscos para MFA baseado em SMS:

Leitura complementar: Contos da Cripta sobre os riscos da autenticação multifator baseada em SMS