Microsoft вслед за Google прокачивает своё приложение Authenticator

Вслед за недавним обновлением Google Authenticator, повышающим удобство и комфорт использования приложения, прокачать своё фирменное приложение для аутентификации решила и Microsoft, но только с целью повышения безопасности.

Компания внедрила новую функцию в своё фирменное приложение Microsoft Authenticator, которая поможет противостоять атакам на многопользовательскую аутентификацию (MFA).

Подобные атаки, также известные как «Push Bombing» или «MFA Push Spam», заключаются в том, что злоумышленники посылают потенциальным жертвам множество уведомлений на смартфон с просьбой подтвердить попытки входа в их аккаунты с помощью украденных данных.

Во многих случаях жертвы сдаются под давлением постоянных уведомлений и одобряют злонамеренные запросы. Подтверждение может произойти как случайно, так и чтобы остановить назойливые оповещения. Конечным результатом становится получение хакером доступа к учётной записи жертвы.

Этот тип социальной инженерии ранее успешно использовали киберпреступные группировки Lapsus$ и Yanluowang, которые с его помощью проникли в такие известные организации, как Microsoft, Cisco и Uber.

Microsoft решила бороться с данным методом мошенничества и начала применять функцию сопоставления чисел для уведомлений MFA в приложении Microsoft Authenticator.

«Сопоставление чисел — это ключевое улучшение безопасности традиционных двухфакторных уведомлений в Microsoft Authenticator. Мы сбросим все административные настройки и будем по умолчанию применять сопоставление чисел для всех пользователей Microsoft Authenticator с 8 мая 2023 года», — говорит Microsoft.

Демонстрация функции «Сопоставление чисел»

К слову, подобный подход с сопоставлением чисел уже не первый год использует компания Google, предлагая выбрать на своём основном устройстве одно из трёх чисел, совпадающее с приведённым на экране нового устройства. Однако решение Microsoft с ручным вводом числа выглядит хоть и менее удобным, но полностью решает проблему атак методом «Push Bombing». Ведь ни случайно, ни намеренно — жертва такой атаки уже не сможет выдать злоумышленнику желаемый доступ.