AiTM-phishing: Hvorfor selv tofaktorautentisering og MFA-koder stjeles

I mange år har innføringen av MFA (flerfaktorautentisering) blitt ansett som det ultimate forsvarsverket mot identitetstyveri. For norske CISO-er og sikkerhetsteam har kravet om engangskoder på SMS eller push-varsler nøytralisert brorparten av klassiske phishing-forsøk, helt i tråd med NSMs grunnprinsipper for IKT-sikkerhet. Dessverre holder ikke denne garantien lenger mot fremveksten av såkalte AiTM-angrep (Adversary-in-the-Middle).

I dag kan en medarbeider taste inn passordet sitt og godkjenne påloggingen på mobilen, og likevel gi angriperne full tilgang til virksomhetens skyløsninger og e-postkasser. Trusselaktørene forsøker ikke lenger å knekke passord: de omgår selve tilgangskontrollen. Å forstå denne mekanismen er helt avgjørende for ledergruppen og sikkerhetsledelsen når forsvarsverk og opplæring skal oppdateres.

Hvordan stjeler et AiTM-phishing-kit sesjonskapselen til tross for tofaktor?#

Kort oppsummert: Et AiTM-verktøy fungerer som en ondsinnet omvendt proxy som videresender forespørsler i sanntid mellom offeret og den ekte tjenesten. Når brukeren godkjenner MFA-forespørselen, utsteder den legitime serveren en sesjonskapsel (session cookie) som angriperen umiddelbart fanger opp for å overta den innloggede identiteten.

I motsetning til tradisjonell phishing, som kun etterligner en innloggingsside for å lagre tastetrykk, baserer AiTM seg på en dynamisk infrastruktur:

• Sanntids videresending: Angriperen setter opp en omvendt proxy under et villedende domenenavn. Når medarbeideren klikker på lenken, henter proxy-serveren den faktiske innloggingssiden til skyleverandøren og viser den direkte til offeret.
• Oppfanging av første faktor: Brukeren taster inn brukernavn og passord. Den ondsinnede proxyen sender dette umiddelbart til den reelle tjenesten, som deretter ber om den vanlige totrinnskontrollen.
• Validering av MFA: Offeret mottar varselet på sin autentiseringsapp eller en kode på SMS, og godkjenner i god tro. Opplevelsen fremstår nøyaktig som en ordinær innlogging.
• Tyveri av sesjonskapselen: Så snart MFA er bekreftet, oppretter den legitime serveren et sesjonstoken for å holde brukeren innlogget. Det er denne verdifulle sesjonskapselen AiTM-proxyen fanger opp, før brukeren sendes videre til en uskyldig landingsside.

Med denne sesjonskapselen i hende kan angriperen lime den inn i sin egen nettleser. Dermed omgås både passord, tofaktorapper og eventuelle passordbytter, og angriperen får direkte tilgang til bedriftens systemer uten at det umiddelbart utløses alarmer hos NorCERT eller interne overvåkingssystemer.

Hvorfor er tradisjonell MFA utilstrekkelig mot sesjonstyveri?#

Kort oppsummert: Tradisjonelle MFA-metoder som SMS, TOTP-apper og push-varsler mangler kryptografisk binding til det legitime nettstedsdomenet. De bekrefter brukerens identitet i øyeblikket, men verifiserer aldri ektheten til nettadressen nettleseren faktisk besøker.

Engangskoder som leses opp fra en mobilskjerm eller mottas på SMS deler en strukturell svakhet: de krever menneskelig inntasting. Så lenge et menneske kan lese en tallrekke for å skrive den inn i et felt, kan vedkommende også manipuleres til å skrive den inn på en falsk side.

Svakheten ved push-varsler og tallmatching

Selv avanserte push-varsler med tallmatching (number matching) er sårbare for AiTM. Den omvendte proxyen henter tallet fra den ekte serveren og viser det på skjermen til den ansatte, som deretter trykker på det samme tallet på sin mobil.

Nødvendigheten av FIDO2 og Passkeys

For å nøytralisere denne sårbarheten må virksomheter bevege seg mot phishing-resistent MFA basert på FIDO2- og WebAuthn-standardene:

• Kryptografisk domenebinding: Ved bruk av FIDO2 (via fysiske sikkerhetsnøkler eller Passkeys) kommuniserer nettleseren direkte med maskinvaren. Nettleseren sender den nøyaktige URL-adressen til sikkerhetsbrikken.
• Automatisk blokkering ved feil domene: Dersom den ansatte står på et ondsinnet domene (for eksempel sikker-innlogging-portal.com i stedet for virksomhetens offisielle domene), vil maskinvaren nekte å signere forespørselen fordi opprinnelsen ikke stemmer overens. AiTM-proxyen mottar ingenting og får ingen sesjonskapsel å stjele.

Hvordan beskytte virksomhetens ansatte mot AiTM i praksis?#

Å rulle ut maskinvarenøkler til alle ansatte i SMB-markedet og større virksomheter tar tid. Parallelt med dette teknologiløftet finnes det flere operative tiltak som reduserer risikoen betraktelig, i tråd med kravene i Digitalsikkerhetsloven (NIS 2) og DORA-forordningen.

Stram inn reglene for betinget tilgang (Conditional Access)

Begrens levetiden og nytten av stjålne sesjonskapsler gjennom strenge tilgangsregler:

• Krav om godkjente enheter: Blokker nettsesjoner som kommer fra ukjente enheter eller enheter som ikke overholder virksomhetens MDM-policyer.
• Geografiske sperrer og anomalideteksjon: Reager på umulige reiser, for eksempel dersom en sesjon godkjennes i Oslo for så å sende API-kall fra et annet kontinent to minutter senere.
• Kortere levetid på sesjonstokens: Reduser levetiden på nettleserøkter for kritiske fagsystemer, slik at stjålne tokens raskt blir ubrukelige.

Tren de ansatte på å oppdage domeneavvik

Svakheten til ethvert AiTM-angrep ligger i selve domenenavnet: angriperen kan aldri benytte leverandørens eksakte domene. Årvåkenhet rundt nettleserens adressefelt er derfor en kritisk forsvarslinje.

For å bygge sterke vaner hos de ansatte kreves realistisk mengdetrening. Med Super Phisher, vår simulator for phishing-trening som rulles ut i samarbeid med våre eksperter, settes medarbeiderne på prøve mot moderne trusler. Dette gjør det mulig å måle og forbedre evnen til å oppdage falske nettadresser før opplysninger oppgis.

BRAIN SECURITY I PRAKSIS · Super Phisher

En moderne cyberberedskap forener teknologi og menneskelig atferd#

Phishing som omgår tofaktorautentisering illustrerer hvor hurtig trusselbildet endrer seg. Å stole blindt på tekniske tiltak uten å tilpasse opplæringen av de ansatte skaper en falsk trygghet som kan koste dyrt ved revisjoner fra Datatilsynet eller Finanstilsynet.

Det mest robuste forsvaret oppnås ved å kombinere FIDO2-arkitektur, finjusterte tilgangskontroller og kontinuerlig trening mot moderne sosial manipulering. Ønsker dere å teste hvor motstandsdyktige deres ansatte er mot avanserte phishing-metoder og etablere et skreddersydd treningsprogram? Book et møte med oss for en uforpliktende prat og en demonstrasjon av våre engasjerende læringsmetoder.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Sosial manipulering pa profesjonelle nettverk: Nar falske jobbtilbud skjuler cyberangrep (Phishing & Social Engineering) : Lær hvordan trusselaktører utnytter LinkedIn og profesjonelle nettverk til a lure ansatte med falske jobbtilbud og kapre virksomhetens tilganger.
• Rapporteringsfrekvens for phishing: Hvorfor CISO ma droppe klikkraten (Phishing & Social Engineering) : Lær hvorfor rapporteringsfrekvens for phishing utkonkurrerer klikkraten for a redusere risiko og beskytte virksomheten pa fa minutter.
• Baiting og infiserte USB-enheter: Hvorfor nysgjerrighet forblir en kritisk inntrengningsvektor (Phishing & Social Engineering) : Lær hvordan USB-baiting lurer dine ansatte, og hvilke fysiske sikkerhetsrutiner som kreves for å beskytte virksomhetens IT-infrastruktur mot angrep.
• Cybersikkerhet for HR og rekruttering: Avdekk infiserte cver og falske kandidater (Industries & Roles) : Lær hvordan HR og rekrutterere beskytter virksomheten mot infiserte cver, skadelige lenker og deepfake kandidater under jobbintervjuer.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)