เมื่อ MFA ถูกหลอกได้: รู้จัก MFA Fatigue Attack และเหตุผลที่องค์กรต้องป้องกันมากกว่าแค่เปิด MFA
หลายองค์กรเชื่อว่า Multi-Factor Authentication (MFA) คือปราการด่านสุดท้ายในการป้องกันบัญชีผู้ใช้งาน หากเปิดใช้งาน MFA แล้วก็แทบไม่ต้องกังวลเรื่องการถูกแฮกอีกต่อไป
แต่ในความเป็นจริง ภัยคุกคามไซเบอร์ในปัจจุบันได้พัฒนาไปไกลกว่านั้น ผู้โจมตีไม่ได้พยายาม "แฮก MFA" โดยตรง แต่ใช้วิธีหลอกให้ผู้ใช้งานยืนยันตัวตนด้วยตัวเอง หรือขโมย Session หลังจากผู้ใช้ผ่านการยืนยันตัวตนเรียบร้อยแล้ว
นี่คือเหตุผลที่หลายองค์กรเริ่มหันมาใช้ Identity Protection, Privileged Access Management (PAM) และแนวคิด Zero Trust เพื่อเสริมการป้องกันให้รัดกุมยิ่งขึ้น
MFA ไม่ได้ถูกเจาะ แต่ผู้ใช้ถูกหลอก
MFA ยังคงเป็นมาตรฐานด้านความปลอดภัยที่สำคัญและควรเปิดใช้งานเสมอ
อย่างไรก็ตาม ผู้โจมตีในปัจจุบันมักเลือกโจมตี "พฤติกรรมของผู้ใช้งาน" มากกว่าการพยายามเจาะระบบ MFA โดยตรง
ตัวอย่างเทคนิคที่พบได้บ่อย ได้แก่
- MFA Fatigue Attack (Push Notification Bombing)
ผู้โจมตีมี Username และ Password ของเหยื่ออยู่แล้ว จากนั้นจะพยายามล็อกอินซ้ำ ๆ ส่งผลให้ผู้ใช้งานได้รับ Push Notification ขออนุมัติ MFA จำนวนมาก
เมื่อการแจ้งเตือนเกิดขึ้นอย่างต่อเนื่อง ผู้ใช้อาจเกิดความรำคาญ สับสน หรือเข้าใจผิดว่าระบบกำลังทำงานผิดปกติ จึงกด Approve โดยไม่ได้ตั้งใจ
เมื่อได้รับการอนุมัติ ผู้โจมตีก็สามารถเข้าสู่ระบบได้ทันที
ลักษณะการโจมตีนี้เรียกว่า MFA Fatigue Attack หรือ Push Bombing
- Session Cookie Theft
แม้ว่าผู้ใช้งานจะผ่าน MFA อย่างถูกต้องแล้ว ระบบจะสร้าง Session Cookie เพื่อยืนยันตัวตนระหว่างการใช้งาน
หากผู้โจมตีสามารถขโมย Session Cookie ได้ ไม่ว่าจะผ่าน Malware หรือการโจมตีบน Browser ก็อาจเข้าสู่ระบบแทนผู้ใช้งานได้ โดยไม่จำเป็นต้องผ่าน MFA อีกครั้ง
กล่าวคือ
- Password ไม่จำเป็น
- MFA ไม่จำเป็น
- ใช้งาน Session ของเหยื่อแทนได้ทันที
- Adversary-in-the-Middle (AiTM)
AiTM เป็นการโจมตีผ่านเว็บไซต์ปลอมที่มีหน้าตาเหมือนหน้า Login ขององค์กร
เมื่อผู้ใช้งานกรอก Username, Password และยืนยัน MFA ข้อมูลทั้งหมดจะถูกส่งผ่านผู้โจมตี ก่อนจะส่งต่อไปยังเว็บไซต์จริง
ผลลัพธ์คือ
- ผู้ใช้งานสามารถ Login ได้ตามปกติ
- ผู้โจมตีก็ได้รับ Session Token ที่ใช้งานได้จริงเช่นกัน
จึงสามารถเข้าถึงบัญชีของเหยื่อได้ แม้จะมี MFA ก็ตาม
วิธีลดความเสี่ยงจากการโจมตีที่หลอก MFA
การเปิด MFA เพียงอย่างเดียวอาจไม่เพียงพอ องค์กรควรเสริมมาตรการด้าน Identity Security ได้แก่
ใช้ Phishing-Resistant MFA
เช่น Security Keys หรือ Passkeys ที่ช่วยลดความเสี่ยงจากการโจมตีแบบ AiTM และ Phishing
ตรวจสอบความเสี่ยงของการ Login
ระบบควรสามารถวิเคราะห์ปัจจัยต่าง ๆ เช่น
- ตำแหน่งการเข้าสู่ระบบ
- อุปกรณ์ที่ใช้
- ความผิดปกติของพฤติกรรม
- Impossible Travel
- Anonymous IP หรือ VPN
หากพบความเสี่ยง ระบบควรบังคับยืนยันตัวตนเพิ่มเติมหรือปฏิเสธการเข้าถึง
จำกัดสิทธิ์ของบัญชีสำคัญด้วย PAM
บัญชี Administrator หรือบัญชีที่มีสิทธิ์สูงควรถูกควบคุมด้วย Privileged Access Management (PAM) เพื่อจำกัดสิทธิ์ บันทึกการใช้งาน และลดโอกาสที่บัญชีสำคัญจะถูกนำไปใช้โจมตี
ใช้แนวคิด Zero Trust
Zero Trust มีหลักการว่า Never Trust, Always Verify
ทุกการเข้าถึงจะต้องได้รับการตรวจสอบ ไม่ว่าจะมาจากภายในหรือภายนอกองค์กร และไม่ควรเชื่อถือเพียงเพราะผู้ใช้งานผ่าน MFA มาแล้ว
MFA ยังจำเป็น แต่ต้องใช้ร่วมกับ Identity Security
MFA ยังคงเป็นมาตรฐานพื้นฐานที่ทุกองค์กรควรใช้งาน แต่ไม่ควรมองว่าเป็นเครื่องมือที่ป้องกันการโจมตีได้ทั้งหมด
ปัจจุบัน ผู้โจมตีมุ่งเป้าไปที่การหลอกผู้ใช้งาน ขโมย Session และโจมตีผ่าน Identity มากกว่าการพยายามเจาะระบบโดยตรง
ดังนั้น การป้องกันที่มีประสิทธิภาพควรผสานหลายแนวทางเข้าด้วยกัน ได้แก่
- Multi-Factor Authentication (MFA)
- Identity Protection
- Privileged Access Management (PAM)
- Continuous Authentication
- Zero Trust Architecture
เมื่อทำงานร่วมกัน องค์กรจะสามารถลดความเสี่ยงจากการโจมตีที่อาศัยช่องโหว่ของตัวตนผู้ใช้งาน (Identity-Based Attack) ได้อย่างมีประสิทธิภาพ พร้อมรับมือกับภัยคุกคามไซเบอร์ที่ซับซ้อนมากขึ้นในปัจจุบัน
#CyberSecurity #IdentitySecurity #MFA #MFAFatigue #AiTM #SessionCookieTheft #IdentityProtection #PAM #ZeroTrust #CyberResilience #InformationSecurity #BigFish
