AiTM Phishing: Varför även 2FA-koder stjäls på falska inloggningssidor

Under många år framställdes införandet av MFA (flerfaktorautentisering) som den ultimata skölden mot stöld av inloggningsuppgifter. För CISO:er, IT-säkerhetschefer och ledningsgrupper innebar kravet på SMS-koder eller pushnotiser att 99 procent av alla klassiska nätfiskeattacker kunde neutraliseras direkt. Tyvärr räcker inte denna sanning längre när angriparna i allt högre grad använder så kallade AiTM-attacker (Adversary-in-the-Middle).

I dag kan en medarbetare fylla i sitt lösenord och godkänna sin andra faktor i mobilen helt enligt boken, och samtidigt ge angriparen full åtkomst till sin e-post eller företagets molnmiljö. Hotaktörerna försöker inte längre knäcka era lösenord: de kringgår åtkomstkontrollen i realtid. Att förstå denna tekniska mekanism är avgörande för att anpassa organisationens försvarsstrategi och utbildningsinsatser i linje med rekommendationer från MSB, CERT-SE och kraven i NIS 2.

Hur fångar ett AiTM-kit sessionskakor trots flerfaktorautentisering?#

Sammanfattning: Ett AiTM-kit fungerar som en skadlig reverse proxy som i realtid förmedlar trafiken mellan offret och den legitima molntjänsten. När användaren verifierar sin 2FA-kod utfärdar den riktiga servern en sessionskaka (session cookie), vilken angriparen fångar upp för att omedelbart kapa den inloggade sessionen.

Till skillnad från en traditionell nätfiskesida, som bara kopierar utseendet på en inloggningssida för att registrera tangenttryckningar, bygger en AiTM-infrastruktur på ett dynamiskt flöde:

• Spegling via reverse proxy: Angriparen sätter upp en proxyserver under en vilseledande domän. När medarbetaren klickar på länken hämtar angriparens server den faktiska inloggningssidan från den legitima molnleverantören och visar den för användaren.
• Fångst av primära inloggningsuppgifter: Användaren anger användarnamn och lösenord. Den skadliga proxyn skickar informationen direkt vidare till den riktiga tjänsten, som därefter begär den sedvanliga andrafaktorn.
• Validering av MFA: Offret får sin pushnotis i autentiseringsappen eller matar in sin engångskod. För användaren upplevs processen som helt normal och identisk med en vanlig inloggning.
• Stöld av sessionskakan: När autentiseringen godkänts genererar den legitima servern en sessionskaka (session token) för att hålla användaren inloggad. Det är denna värdefulla token som proxyn fångar upp innan offret omdirigeras till en harmlös sida.

Med denna sessionskaka i sin ägo kan angriparen injicera den i sin egen webbläsare. Angriparen kringgår därmed både lösenord, autentiseringsappar och eventuella framtida lösenordsbyten, och kliver direkt in i organisationens molnmiljö utan att initialt trigga larm.

Varför räcker inte traditionell 2FA mot sessionsstöld?#

Sammanfattning: Traditionella MFA-metoder som SMS, TOTP-appar och pushnotiser saknar kryptografisk koppling till den faktiska webbdomänen. De bevisar användarens identitet i stunden men validerar inte att webbadressen i webbläsaren är äkta.

Engångskoder via SMS eller appar har en grundläggande strukturell svaghet: de bygger på mänsklig inmatning. Så länge en människa kan läsa en siffersekvens och skriva in den i ett formulärfält, kan samma person manipuleras att mata in den på en kontrollerad proxysida.

Svagheten med pushnotiser och TOTP-koder

Även pushnotiser med nummeridentifiering (number matching) kan manipuleras via AiTM. Den skadliga proxyn visar enkelt upp samma nummer som den riktiga inloggningsservern genererar direkt på medarbetarens skärm, varpå medarbetaren bekräftar numret i sin mobil utan misstanke.

Nödvändigheten av FIDO2 och Passkeys

För att stänga detta säkerhetshål rör sig säkerhetsbranschen, i samklang med vägledningar från NCSC-SE, mot nätfiskeimmuna autentiseringsmetoder (phishing-resistant MFA) baserade på FIDO2 och WebAuthn:

• Kryptografisk domänkoppling: Vid autentisering med FIDO2 (via fysiska säkerhetsnycklar eller Passkeys) kommunicerar webbläsaren direkt med den säkra hårdvarukomponenten. Den skickar med den exakta webbadressen som besöks.
• Automatiskt avbrott vid fel domän: Om användaren befinner sig på en skadlig proxydomän (till exempel login-foretag-verifiering.com istället för den officiella adressen) vägrar säkerhetsnyckeln att signera begäran eftersom domänursprunget inte matchar. AiTM-proxyn får ingenting och ingen sessionskaka kan genereras.

Hur skyddar ni era medarbetare mot AiTM i praktiken?#

Att rulla ut hårdvarunycklar och Passkeys i hela organisationen tar tid och kräver infrastrukturförändringar. Parallellt med denna tekniska förflyttning finns flera operativa åtgärder som drastiskt minskar er riskexponering.

Skärp villkorsstyrd åtkomst (Conditional Access)

Begränsa nyttan av stulna sessionskakor genom strikta åtkomstregler:

• Krav på hanterade enheter: Spärra webbsessioner som initieras från ohanterade eller icke-godkända enheter som faller utanför organisationens MDM-policy.
• Geografiska spärrar och avvikelsedetektering: Reagera automatiskt på orimliga inloggningsmönster, såsom en verifierad session från Stockholm som följs av API-anrop från en annan världsdel bara några minuter senare.
• Kortare livslängd för sessionstokens: Minska sessionernas giltighetstid för att tvinga fram tätare återautentisering i verksamhetskritiska system.

Träna medarbetarna i att granska webbadresser

Den svaga länken i en AiTM-attack är alltid domännamnet: angriparen kan inte använda den officiella domänen för er molntjänst. Vaksamhet på webbadressen i adressfältet förblir därför en avgörande försvarslinje.

För att skapa ett genuint säkerhetsbeteende i organisationen krävs verklighetstrogen träning. Med Super Phisher, vår simulator för nätfiskekampanjer som implementeras i samarbete med våra experter, utsätts era team för moderna scenarier som tränar förmågan att upptäcka domänavvikelser innan inloggningsuppgifter matas in.

BRAIN SECURITY I PRAKTIKEN · Super Phisher

Ett modernt cyberförsvar förenar teknik och mänsklig förmåga#

Nätfiske som kringgår flerfaktorautentisering visar hur snabbt hotaktörernas metoder förfinas. Att enbart förlita sig på tekniska filter utan att kontinuerligt utbilda medarbetarna skapar en falsk trygghet som kan stå verksamheten dyrt, särskilt i ljuset av ökade tillsynskrav via NIS 2 eller DORA för berörda sektorer.

Den mest effektiva försvarsstrategin kombinerar moderna FIDO2-arkitekturer, finkornig villkorsstyrd åtkomst och kontinuerlig träning mot nästa generations social engineering. Vill ni utvärdera organisationens motståndskraft och bygga ett långsiktigt träningsprogram? Boka en demo med vårt team för att diskutera era behov och utforska våra engagerande utbildningsformat.

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• Social engineering på professionella nätverk: När ett falskt jobberbjudande döljer ett intrång (Phishing & Social Engineering) : Lär dig hur angripare utnyttjar professionella nätverk för att lura nyckelpersoner med falska rekryteringar och stjäla er organisations behörigheter.
• Rapporteringsfrekvens vid nätfiske: varför CISO måste sluta mäta klickfrekvens (Phishing & Social Engineering) : Upptäck varför rapporteringsfrekvens för nätfiske överträffar klickfrekvens för att minska riskfönstret och skydda organisationen inom några minuter.
• Baiting och preparerade USB-minnen: Varför mänsklig nyfikenhet förblir en farlig attackvektor (Phishing & Social Engineering) : Upptäck hur baiting och infekterade USB-minnen hotar er IT-säkerhet. Lär er hur fysiska säkerhetsrutiner skyddar organisationen mot intrång.
• Cybersäkerhet för HR och rekrytering: Avslöja riggade CV:n och falska AI-kandidater (Industries & Roles) : Lär er skydda HR-avdelningen mot skadliga bilagor, riggade portfolios och falska deepfake-kandidater under digitala anställningsintervjuer.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Super Phisher : Realistiska nätfiskesimuleringar (Super Phisher): träna medarbetare att känna igen och rapportera misstänkta mejl.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)