AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider

I årevis har udrulningen af multifaktor-autentificering (MFA) været anset som den ultimative forsvarslinje mod kompromittering af brugeroplysninger. For CISO'er, IT-sikkerhedsansvarlige og direktionen har kravet om engangskoder via SMS eller push-notifikationer i Microsoft Authenticator neutraliseret langt størstedelen af traditionelle phishing-angreb. Desværre smuldrer denne tryghed i takt med den eksplosive stigning i AiTM-angreb (Adversary-in-the-Middle).

I dag kan en medarbejder samvittighedsfuldt indtaste sit kodeord og godkende sit andet faktor-login på sin smartphone, mens angriberen samtidigt opnår fuld adgang til virksomhedens cloud-miljø og mailboks. Trusselsaktører forsøger ikke længere at gætte eller knække adgangskoder: de omgår direkte adgangskontrollen. En dybdegående teknisk forståelse af denne angrebsvektor er blevet uundværlig for at tilpasse virksomhedens forsvar og medarbejdernes træning, særligt under skærpede standarder som NIS 2 og D-mærket.

Hvordan opsnapper et AiTM-phishingkit sessions-tokens trods totrinsbekræftelse?#

Kort fortalt: Et AiTM-kit fungerer som en ondsindet reverse proxy, der i realtid videresender forespørgsler mellem offeret og den legitime cloud-tjeneste. Når brugeren godkender sin MFA-udfordring, udsteder den rigtige server en sessions-cookie, som angriberen straks opsnapper for at overtage sessionen.

I modsætning til klassiske phishing-sider, der blot kopierer en login-formular for at gemme tastetryk, benytter AiTM-infrastrukturer en dynamisk proxy-arkitektur:

• Dynamisk videresendelse i realtid: Angriberen opsætter en reverse proxy på et vildledende domænenavn. Når medarbejderen klikker på linket, henter angriberens proxy-server den ægte login-side fra udbyderen (f.eks. Microsoft 365 eller Google Workspace) og spejler den direkte tilbage til offeret.
• Opsnapning af første faktor: Brugeren indtaster brugernavn og adgangskode. Proxy-serveren sender øjeblikkeligt disse informationer videre til den legitime tjeneste, som derefter kræver det sædvanlige andet trin.
• Gennemførelse af MFA: Offeret modtager en push-besked eller en sekscifret TOTP-kode på sin telefon og godkender forespørgslen i god tro. Brugeroplevelsen er identisk med et normalt login-flow.
• Kapring af sessions-cookien: Når MFA-godkendelsen er verificeret, udsteder den legitime cloud-server en godkendt sessions-cookie for at holde brugeren logget ind. Det er netop dette værdifulde token, som AiTM-proxyen stjæler ud af datastrømmen, før brugeren viderestilles til en ufarlig landingsside.

Med denne gyldige sessions-cookie behøver angriberen hverken adgangskode eller yderligere MFA-godkendelser. Ved at injicere cookien i sin egen browser glider angriberen direkte forbi identitetskontrollen og ind i virksomhedens interne systemer uden at udløse traditionelle alarmer.

Hvorfor er klassiske 2FA-metoder utilstrækkelige mod session-hijacking?#

Kort fortalt: Traditionelle MFA-løsninger som SMS-koder, TOTP-apps og almindelige push-notifikationer er ikke kryptografisk bundet til det specifikke weblink. De beviser brugerens identitet her og nu, men validerer ikke ægtheden af den URL, browseren kommunikerer med.

Engangskoder genereret via authenticator-apps eller SMS har en grundlæggende sårbarhed: de baserer sig på menneskelig indtastning. Så længe et menneske kan læse en talrække og taste den ind i et tekstfelt, kan personen manipuleres til at indtaste den på en proxy-styret side.

Svagheden ved push-beskeder og talmatchning

Selv avancerede push-notifikationer med talmatchning (number matching) kan overlistes af moderne AiTM-værktøjer. Den ondsindede reverse proxy videresender blot det tal, som den legitime server viser, og præsenterer det for brugeren. Brugeren vælger tallet på sin mobil i den tro, at alt er normalt.

Nødvendigheden af FIDO2 og phishing-resistent MFA

For at lukke dette sikkerhedshul rykker IT-sikkerhedsbranchen og myndigheder som Center for Cybersikkerhed (CFCS) mod phishing-resistent MFA baseret på FIDO2- og WebAuthn-standarderne (hardwarenøgler og Passkeys):

• Kryptografisk domænebinding: Ved FIDO2-autentificering kommunikerer browseren direkte med sikkerhedschippen i hardwarenøglen eller enheden. Browseren overfører automatisk den præcise oprindelses-URL for webstedet.
• Automatisk afvisning ved falske domæner: Hvis medarbejderen befinder sig på et vildledende domæne (eksempelvis login-sikker-portal.com i stedet for det officielle domæne), nægter den kryptografiske nøgle at signere anmodningen, fordi domæneoprindelsen ikke matcher. AiTM-proxyen modtager intet brugbart, og der kan ikke udstedes nogen sessions-cookie.

Hvordan beskytter I jeres organisation mod AiTM-angreb i praksis?#

Udrulning af FIDO2-hardwarenøgler på tværs af hele organisationen kræver planlægning og budgettering. Mens denne overgang finder sted, kan en række operationelle tiltag reducere jeres risiko markant.

Hærdning af Conditional Access-politikker

Minimer levetiden og brugbarheden af stjålne sessions-cookies ved hjælp af præcise adgangsregler:

• Krav om overholdelse af enhedspolitikker: Tillad kun adgang til følsomme cloud-ressourcer fra registrerede, compliant enheder administreret via MDM (Mobile Device Management).
• Geografiske begrænsninger og registrering af umulig rejseaktivitet: Konfigurer automatisk blokering ved umulige lokationsskift (impossible travel), for eksempel hvis en bruger godkender en session i København, og der to minutter efter udføres API-kald fra en anden verdensdel.
• Forkortelse af sessionstokens: Reducer gyldighedsperioden for inaktive websessioner for at tvinge hyppigere genautentificering igennem på kritiske systemer.

Træning af medarbejderne i URL-verifikation

Det svageste led i ethvert AiTM-angreb er selve domænenavnet. Angriberen kan aldrig registrere det nøjagtige domæne, der tilhører jeres rigtige cloud-leverandør. Medarbejdernes kritiske opmærksomhed på adresselinjen i browseren udgør derfor fortsat et afgørende forsvarslag.

For at gøre denne årvågenhed til en naturlig vane, skal medarbejderne trænes i realistiske scenarier. Med Super Phisher, vores træningsplatform til phishing-simuleringer, der udrulles i samarbejde med vores eksperter, udfordres medarbejderne med moderne, virkelighedstro angrebsteknikker, så de lærer at gennemskue domæneanomalier før indtastning af legitimationsoplysninger.

BRAIN SECURITY I PRAKSIS · Super Phisher

En integreret cyberforsvarsstrategi mellem teknik og adfærd#

AiTM-angreb illustrerer med al tydelighed, hvordan trusselsaktørernes metoder konstant raffineres. At forlade sig blindt på ét teknisk sikkerhedsværktøj uden sideløbende at styrke medarbejdernes adfærd skaber en farlig, falsk tryghed i organisationen.

Det mest robuste forsvar etableres i krydsfeltet mellem tekniske foranstaltninger (såsom FIDO2 og Conditional Access) og løbende, praksisnær træning i social engineering. Ønsker I at teste organisationens modstandsdygtighed over for nutidens avancerede angrebsmønstre og designe et målrettet træningsforløb? Book en uforpligtende dialog med vores team for at se vores interaktive læringsformater i aktion.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Social engineering pa professionelle netvaerk: Nar et falsk jobtilbud skjuler et cyberangreb (Phishing & Social Engineering) : Opdag hvordan trusselsaktorer udnytter professionelle netvaerk og falske jobtilbud til at ramme medarbejdere og omga perimeterforsvaret.
• Rapporteringsrate for phishing: Hvorfor CISOen skal droppe klikraten (Phishing & Social Engineering) : Opdag hvorfor rapporteringsraten overgår klikraten, når CISOen skal reducere risikoeksponeringen og styrke IT-sikkerheden i organisationen.
• Baiting og inficerede USB-stik: Hvorfor nysgerrighed forbliver en effektiv angrebsvektor (Phishing & Social Engineering) : Opdag hvordan et baiting-angreb med USB-stik rammer virksomheden, og hvilke fysiske sikkerhedsrutiner der effektivt lukker sårbarheden.
• Cybersikkerhed i HR og rekruttering: Spot inficerede CV'er og falske AI-kandidater (Industries & Roles) : Lær hvordan I beskytter jeres HR-team mod ondsindede CV-vedhæftninger, falske profiler og deepfake-kandidater i videointerviews.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)