Hackeři umí obejít dvoufaktorovou autentizaci u Gmailu
23.12.2018, Milan Šurkala, aktualita
Dvoufaktorová autentizace sice významně vylepšuje bezpečnost přihlašování, nicméně ani toto řešení není naprosto neprůstřelné. Hackeři totiž přišli na to, jak získávat kódy, které přijdou obětem na mobilní telefon.
Pokud chcete, aby vám nikdo nehacknul účet, patrně využíváte dvoufaktorovou autentizaci (2FA), která významně vylepšuje zabezpečení. Na první pohled by mohla vypadat dokonce jako nepřekonatelná, neboť heslo přichází na váš telefon a dokud ho máte, mělo by být vše v pořádku. Jak se ale ukázalo, i toto se dá docela "šikovně" napadnout. Amnesty International totiž vydala zprávu, ve které popisuje, jak hackeři napadají zejména novináře a ochránce lidských práv na Středním východě a severu Afriky (Egypt, Palestina, Spojené arabské emiráty nebo Jemen). Napadají účty na Gmailu, Yahoo i serverech Tutanota a ProtonMail, a to i tehdy, když jsou chráněny pomocí 2FA.
Trik je docela jednoduchý. Využívá klasického phishingu, kdy přijde bezpečnostní výstraha vyžadující změnu hesla. Pokud uživatel klikne na závadný odkaz v e-mailu, objeví se stránka náramně připomínající přihlašovací stránku např. do Gmailu. Oběť sem zadá e-mail, který systém hackerů automaticky zadá do skutečného Gmailu a tím přinutí Google, aby oběti zaslal kód na telefon. Oběť stále nic netuší a kód opíše do phishingové stránky. Ten si zase vezme automatický systém hackerů a přihlásí se s jeho pomocí do Gmailu, kde např. zřídí heslo pro aplikace. Jde vlastně o možnost externího přístupu do e-mailového účtu pro jiné aplikace (např. pro jiného e-mailového klienta).
Celkem takto mělo být napadeno přes 1000 e-mailů. Stále tedy platí to, že je potřeba dávat si pozor na to, kam člověk kliká. 2FA je sice velmi bezpečná, ale pokud hackerům donesete obě hesla na stříbrném podnose, ani ta nepomůže.
