.jpg)
如何利用开源情报、网络钓鱼技术和一次性手机实施基于短信的2FA欺骗。 |
如何利用开源情报、网络钓鱼技术和一次性手机实施基于短信的2FA欺骗。
依靠短信作为第二种身份验证因素的公司，令大约20%的客户面临风险，因为攻击系统所需的信息可从暗网上出售的被盗数据库中获得。
网络安全公司FYEO首席技术官Thomas Olofsson表示，综合各在线数据库数据得到的大约10亿条记录（相当于世界上五分之一的手机用户）包含用户的姓名、电子邮件地址、密码和电话号码，为攻击者提供了进行基于短信的网络钓鱼攻击（也称为smishing）所需的一切。
很早以前，网络安全专家就明白，增加短信一次性密码不过是种弱双因素身份验证形式，是攻击者能够攻破的最简单的双因素身份验证形式。然而，将此类攻击与现成的用户信息相结合，就形成了账户攻击的“完美风暴”。
美国黑帽安全（Black Hat）大会上，Olofsson计划在8月10日的一次会议中讨论该问题的研究发现，议题为“Smishmash：利用开源情报、网络钓鱼技术和一次性手机实施基于短信的2FA欺骗”。
“我们的研究包含两个部分：如何绕过2FA，以及我们能将多少手机号关联到电子邮箱和密码上。”Olofsson向安全媒体透露道，“事实上，大约五分之一（十亿）的人，我们都可以将其电子邮件地址与手机号关联起来，这真的很糟糕。”
分析发现，通过从已知被盗用户名和密码数据库中收集信息，研究人员能够创建包含220亿条凭证信息的数据库。将这些凭证与手机号相关联可使记录数量减少到10亿多条，其中约一半已得到验证。
想要利用这些记录，攻击者可以进行中间对手攻击，其中基于短信的网络钓鱼攻击会转到代理上。目标用户在移动设备上打开恶意短信中的链接时，因为屏幕空间非常狭小，iOS和Android系统的浏览器几乎不会显示任何安全信息，比如URL。因此，用户几乎看不到任何遭到攻击的迹象，从而令攻击更加有效，Olofsson表示。
此外，Olofsson称，基于短信的网络钓鱼攻击的成功概率是通过电子邮件进行的网络钓鱼攻击的7倍。
“这种方式让人极易点击链接。”Olofsson解释道，“我看我们自己的攻击都觉得，哇，我都会栽进去。”
今年五月发布的一项分析显示，在过去两年中，攻击者使用短信网络钓鱼来盗取金融账户，尤其是与加密货币交易所相关的账户，2022年截至目前已有超过16亿美元的加密货币被盗。
同时，美国联邦政府已对将短信用作第二身份验证因素施加了额外的限制。2016年，美国国家标准与技术研究院（NIST）发出警告称，不要使用以短信形式发送的一次性密码作为验证用户身份的第二个因素。
“从手机发送的短信可能会无缝切换到发往Skype或谷歌语音电话号码的互联网消息。用户点击‘发送’的时候不用知道其中差别——这是互联网的魔力之一。但这一点在安全上确实很重要。”NIST在对该政策的解释中写道，并补充称：“虽然搭配短信的密码相对于仅使用密码具有更高级别的保护，但该方式缺乏NIST指南认可的其他认证器所固有的设备认证机制强度。
想要降低此类攻击的成功率，用户应无视通过短信收到的任何通知，转而直接登录自己的账户。
“永远不要相信短信。”Olofsson称，“感觉不对劲就不要点击，别信它。去电脑上看看你有没有收到电子邮件，因为电子邮件的话至少你可以验证邮件头。”
但遗憾的是，许多金融机构和其他公司只提供短信作为身份验证的第二因素，使用户毫无选择，难以实现更好的安全。Olofsson指出，添加reCAPTCHA验证码检查可以向用户示警，因为任何中间对手攻击都会显示代理服务器而非用户的IP地址。
利用数据泄露绕过基于短信的双因素验证 | 《Linux就该这么学》 (linuxprobe.com)
相关推荐
-
神舟十三号发射时间地点意义(神舟十四号发射时间地点)
在神舟十三号即将执行首次出舱任务的同时，神舟十二号机组人员聂海胜，刘伯明和汤洪波也按计划完成了隔离恢复阶段的工作。根据中国载人航天工程发言人林西强的说法，未来六个月是空间站运期间宇航员飞行组永久性的中国载人航天项目宇航员系统首席设计师黄伟芬告诉媒体，神舟十三号机组人员将在轨道上飞行6个月。根据黄伟芬
-
杭州中考录取分数线2022(杭州中考录取分数线2022年公布)
2022年杭州市区（指上城区、拱墅区、西湖区、滨江区、钱塘区和西湖风景名胜区，下同）各类高中招生集中统一第一、二批最低录取控制分数线划定。第一批最低录取控制分数线为526分。第二批招生普通高中、职业高中（含“中高职一体化”五年制班）最低录取控制分数线为270分；普通中专最低录取控制分数线为240分；
-
丹徒实验学校怎么样(丹徒实验学校在哪里)
9月3日是开学第一天，丹徒区各中小学以丰富多彩的形式迎接新学期的到来。宜城小学举办开学典礼暨新生入学仪式上午，宜城小学举行“宜人梦想 厚泽起航”秋季开学典礼暨新生入学仪式。活动现场，学生们穿着校服排成了整齐划一的方阵，庄严的升旗仪式后，学生们进行了精彩的表演，活动最后，校长还为新教师们颁发了校徽并带
-
马可波罗瓷砖报价表(马可波罗瓷砖型号及价格)
市面上的瓷砖品牌很多，相信大家去选购的时候总会花多眼乱。马可波罗瓷砖就是其中的一个品牌。相信不少消费者都听过马可波罗这个瓷砖品牌吧，那么对于马可波罗瓷砖来说，它的质量如何呢?马可波罗最新的新品有哪些呢?马可波罗瓷砖产品质量如何马可波罗瓷砖以“中西合璧”的时尚理念为设计源泉，选用意大利、瑞士全套专业瓷
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请通知我们，一经查实，本站将立刻删除。