Skupině čínských hackerů, pravděpodobně napojené na vládu, se zřejmě podařilo obejít dvoufaktorové ověřování. Napadena byla také Itálie
Italie je mezi deseti zeměmi, které napadli čínští hackeři z kolektivu Apt20, pravděpodobně napojeného na vládu Čínské lidové republiky. Apt20 se podařilo obejít mechanismus dvoufaktorového ověřování (2FA) mnoha uživatelských účtů ve strategických odvětvích. Odvětví jako finance, pojišťovnictví, zdravotnictví, výroba energie a vojenské dodávky.
Země zapojené do útoku, který objevila společnost Fox-It a pojmenovala jej Operace Wocao, jsou tyto: USA, Mexiko, Brazílie, Velká Británie, Francie, Německo, Portugalsko, Španělsko, Itálie a samotná Čína. Útok byl bohužel pro hackery úspěšný: podařilo se jim proniknout do virtuálních privátních sítí (VPN) chránících napadené společnosti a organizace a získat plnou kontrolu nad daty. Tato epizoda poukazuje na omezení dvoufaktorových systémů ochrany účtů, které však v současné době stále patří mezi nejspolehlivější systémy pro zablokování přístupu hackera k účtu.
Dvoufaktorové ověřování obejito
Zajímavé na tomto útoku je, že dvoufaktorové ověřování, které mnozí považují za dostatečnou ochranu účtů, protože uživatele upozorní na podezřelý pokus o přístup k jeho účtu, hackeři zcela obešli. Fox-It předpokládá, že se kolektivu Apt20 podařilo získat tokeny pro RSA SecurID, jeden z nejrozšířenějších softwarů pro správu 2FA na světě. Funkce 2FA by pak byla vypnuta u zdroje, a proto by uživatelům nebyla zasílána žádná upozornění. Společnost Fox-It vysvětluje, jak to bylo možné: "Stručně řečeno, vše, co musí útočník udělat, aby použil dvoufaktorové ověřovací kódy, je ukrást softwarový token RSA SecurID a vložit instrukci, která vede k vygenerování platných tokenů."
Je 2FA bezpečné?
Tento příběh ukazuje, že pokud jde o počítačovou bezpečnost, žádný systém není neproniknutelný. Vždycky je to boj mezi strážemi a zloději a někdy vítězí zloději. Vždy se jedná o boj mezi strážci a zloději a někdy zloději zvítězí. 2FA je tedy bezpečná, ale ne neomylná, a proto je stále vhodnou metodou ochrany účtů. Microsoft i Google nabízejí dvoufaktorové ověřování, které, pokud je nám známo, dosud nikdo nenaboural.