محققان امنیت سایبری تکنیک حمله‌ای جدید را افشا کرده‌اند که به مهاجمان اجازه می‌دهد محافظت‌های کلیدهای FIDO را با فریب کاربران برای تأیید درخواست‌های احراز هویت از پورتال‌های جعلی شرکت‌ها تنزل دهند. این حمله که توسط گروه تهدید PoisonSeed انجام شده، از ویژگی مشروع ورود بین دستگاهی (cross-device sign-in) سوءاستفاده می‌کند تا قربانیان را فریب دهد و آن‌ها را وادار به احراز هویت ناخواسته جلسات مخرب کند.
زنجیره حمله با ایمیل فیشینگ آغاز می‌شود که کاربران را به صفحه ورود جعلی شبیه پورتال Okta سازمان هدایت می‌کند. پس از وارد کردن اطلاعات کاربری، سایت جعلی این اطلاعات را مخفیانه به صفحه ورود واقعی ارسال کرده و کد QR را دریافت و به قربانی نمایش می‌دهد. هنگامی که کاربر این کد را با اپلیکیشن احراز هویت موبایل خود اسکن می‌کند، مهاجمان دسترسی غیرمجاز به حساب کاربری به دست می‌آورند. این تکنیک هیچ نقصی در پیاده‌سازی FIDO استثمار نمی‌کند، بلکه از ویژگی مشروع آن برای تنزل فرآیند احراز هویت سوءاستفاده می‌کند و تأکید می‌کند که سازمان‌ها باید احراز هویت مقاوم در برابر فیشینگ را در تمام مراحل چرخه حیات حساب کاربری اعمال کنند.
کلمات کلیدی : امنیت سایبری, FIDO, فیشینگ, احراز هویت, PoisonSeed, کد QR
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.