Hoe hackers twee-factor authenticatie omzeilen

Cybersecurity en online hygiëne zijn belangrijker dan ooit. Met bijna alles wat je tegenwoordig online doet, is het aan jou om elke mogelijke stap te nemen om jezelf, al je online accounts en al je kostbare online-informatie te beschermen tegen de verschillende dreigingen die nooit ver weg zijn wanneer je online komt. En daar komt de twee-factor authenticatie om de hoek kijken.

Onlangs hebben we het belang en de noodzaak besproken van het inschakelen van twee-factor authenticatie waar mogelijk om al je online accounts de benodigde bescherming te geven. In dat artikel zijn we ook kort ingegaan op de mythe dat velen geloven dat het simpelweg inschakelen van 2FA je online direct volledig veilig maakt en je nooit meer zorgen hoeft te maken over de beveiliging van je account. Hoewel twee-factor authenticatie een enorme stap voorwaarts is in de beveiliging van je account, is het helaas nog steeds geen waterdicht systeem dat nog steeds ruimte laat voor kwetsbaarheid. Dus leek het ons verstandig dit keer dieper in te gaan op hoe 2FA nog steeds kan worden omzeild door criminelen en wat je daaraan kunt doen.

Veelvoorkomende manieren waarop hackers de twee-factor authenticatie omzeilen

Twee- of multi-factor authenticatie is een enorme stap voorwaarts als het gaat om accountbeveiliging en bescherming van persoonlijke gegevens. Echter, naarmate de middelen voor online bescherming verbeteren, doen ook de hackmethoden dat. Dus, hoe gebruikelijker twee-factor authenticatie wordt, des te meer methoden om er natuurlijk naar voren komen om er omheen te hacken.

Om te weten hoe je jezelf kunt beschermen, moet je weten hoe hackers door je multi-factor authenticatie heen kunnen breken. Dit zijn enkele van de meest voorkomende methoden die hackers gebruiken om MFA te omzeilen:

1. Phishing

Phishing blijft de meest voorkomende manier om gebruikers te misleiden om hun accounttoegang en kostbare persoonlijke informatie af te staan, en zelfs twee-factor authenticatie kan dit niet weerstaan. Hackers gebruiken geavanceerde phishing-schema’s om gebruikers te misleiden om hun 2FA-codes te onthullen. Dit kan het gebruik van valse loginpagina’s of dringende verzoeken om legitieme bedrijven nabootsen omvatten.

2. SIM-swapfraude

Deze vorm van aanval is wat geavanceerder en is mogelijk niet zo gebruikelijk in Nederland, maar het is nog steeds een van de meer voorkomende methoden die hackers gebruiken om multi-factor authenticatie te omzeilen. Door het overtuigen of omkopen van de klantenservice van het mobiele netwerk van het slachtoffer om het telefoonnummer van het slachtoffer over te zetten naar een nieuwe SIM-kaart (gecontroleerd door de hacker), kunnen aanvallers SMS-gebaseerde 2FA-codes onderscheppen.

3. Man-in-the-Middle (MitM) aanvallen

Een veel voorkomende manier om 2FA te omzeilen zijn de beruchte man-in-the-middle aanvallen. In dit scenario onderscheppen hackers de communicatie tussen de gebruiker en de service die wordt benaderd. Wanneer een gebruiker zijn inloggegevens en 2FA-code invoert, vangt de aanvaller ze op, vaak door gebruik te maken van een phishing-site als tussenpersoon. Deze vorm van aanval komt het meest voor op onbeschermde openbare wifi-netwerken, evenals gecompromitteerde netwerken die geen sterke en moderne beveiligingsinstellingen gebruiken.

4. Accountherstel-uitbuitingen

Sommige hackers richten zich op het accountherstelproces, wat soms een zwakkere schakel in de beveiliging kan zijn. Door minder beveiligde herstelopties te misbruiken, kunnen ze 2FA volledig omzeilen. Dit is een veelvoorkomend aanvalspatroon dat wordt gebruikt om sociale media-accounts te targeten.

5. Malware

Bepaalde malware kan 2FA kapen door codes vast te leggen terwijl ze worden ingevoerd op een gecompromitteerd apparaat of door browser sessies in realtime te manipuleren.

6. Sociale techniek

Directe sociale techniekaanvallen zijn het misleiden van klantenondersteuning of de gebruikers zelf om 2FA uit te schakelen of toegang te verlenen via andere middelen.

7. Exploiteren van synchronisatiediensten

Diensten die berichten synchroniseren over apparaten kunnen kwetsbaar zijn. Als een hacker toegang krijgt tot een gesynchroniseerd apparaat, kan deze mogelijk 2FA-codes lezen die via sms of pushmeldingen worden verzonden.

8. Omzeilen via back-up methoden

Sommige diensten bieden back-up methoden voor 2FA, zoals afdrukbare back-upcodes. Toegang krijgen tot deze codes kan een aanvaller in staat stellen om 2FA te omzeilen.

Hoe kun je je accountbeveiliging verder verbeteren dan alleen met multi-factor authenticatie?

Dus zelfs iets zo agressiefs en gecompliceerd als 2FA-authenticatie kan je accounts niet veilig houden? Nou, feit is dat niets 100% bescherming garandeert voor je accounts of persoonlijke gegevens. En zelfs als iets dat wel doet, is het slechts een kwestie van tijd totdat er nieuwe manieren worden gevonden om nieuwe kwetsbaarheden uit te buiten, waardoor deze hele kat-en-muisspelcyclus opnieuw begint.

Dus het enige wat je kunt doen om online veilig en beveiligd te blijven, is je account blijven versterken en elk beschikbaar instrument gebruiken om jezelf online altijd veilig en beschermd te houden.

Hier zijn enkele stappen die je nu kunt nemen om verder te gaan dan jezelf alleen beveiligen met multi-factor authenticatie en om ervoor te zorgen dat je accounts niet alleen vandaag veilig zijn, maar ook morgen:

1. Controleer regelmatig de toegang tot je account

Veel diensten bieden logs van wanneer en waar je account is geopend. Maak er een gewoonte van om deze logs te bekijken en te zoeken naar ongebruikelijke activiteiten. Doe dit zelfs als je er zeker van bent dat niemand anders dan jij toegang heeft gehad tot je account, al is het alleen maar voor de lol.

2. Gebruik beveiligde wifi-verbindingen

Gebruik buitenshuis een VPN om je verbinding te versleutelen, vooral op openbare wifi-netwerken, om te voorkomen dat anderen je gegevens onderscheppen. Een VPN versleutelt niet alleen al je online gegevens, maar beveiligt ook je internetverbinding, waardoor permanente man-in-the-middle aanvallen worden voorkomen, wat de meest voorkomende manier is om MFA te omzeilen.

3. Houd financiële transacties in de gaten

Houd bank- en creditcardoverzichten in de gaten voor ongeautoriseerde transacties. Veel banken bieden waarschuwingen voor transacties, die je kunnen helpen om fraude vroegtijdig op te sporen.

4. Informeer jezelf over phishingtechnieken

Blijf op de hoogte van de nieuwste phishingzwendel en leer hoe je verdachte e-mails, berichten en oproepen kunt herkennen om te voorkomen dat je slachtoffer wordt van deze tactieken.

5. Beveilig je mobiele apparaat

Implementeer een schermvergrendeling met een pincode, patroon of biometrische vergrendeling voor je smartphone of tablet. Overweeg het gebruik van beveiligingsapps die extra bescherming bieden tegen diefstal en malware.

6. Beperk de online gedeelde persoonlijke informatie

Wees voorzichtig met de informatie die je deelt op sociale media en online forums. Hoe minder persoonlijk identificeerbare informatie je daar hebt, hoe minder aantrekkelijk je bent als doelwit voor hacken.

7. Maak een back-up van je gegevens

Maak regelmatig een back-up van belangrijke gegevens van je apparaten naar een extern station of een beveiligde cloudservice. Dit beschermt je gegevens niet alleen tegen cyberaanvallen, maar ook tegen fysieke schade of verlies.

8. Wees voorzichtig met app-toestemmingen

Bekijk de toestemmingen die door apps worden gevraagd voordat je ze installeert en controleer periodiek de toestemmingen van apps die je al hebt geïnstalleerd. Verleen alleen toestemmingen die nodig zijn voor de werking van de app.

Kijk verder dan 2FA om online veilig te blijven

Terwijl twee-factor authenticatie is een belangrijke stap in het beveiligen van je online accounts, maar helaas geen waterdichte. De techniek staat voor niets, en dat is helaas niet altijd in jouw voordeel, want elke dag dat wij wat bijleren over de bescherming van je online gegevens, leren criminelen weer wat bij over het hacken ervan. Gebruik 2FA dus wel, maar laat dat niet het enige zijn en kijk altijd naar wat je nog meer kunt doen om je accounts en online gegevens te beveiligen.