Хакеры взломали FIDO ключи: QR-код с черным юмором

Хакеры нашли способ обойти защиту даже у самых продвинутых физических ключей для многофакторной аутентификации FIDO (Fast IDentity Online). Казалось бы, защита железная: ключи работают на криптографии, пользователь живет счастливо, а злоумышленники кусают локти. Но не тут-то было. Дьявол, как всегда, в деталях — и, конечно же, в запасном механизме, который сделали для удобства людей, а получил — для удобства аферистов.

FIDO-ключи бывают физическими устройствами или приложениями. Они создают дополнительный уровень безопасности для входа на сайты и в приложения. Обычно, чтобы пройти проверку, вам нужно физически поднести ключ к устройству. Но если вы не можете — система предложит запасной вариант: просканировать QR-код. Именно это и стало лакомым куском для киберпреступников.

Жертва получает классическое фишинговое письмо. Ловко замаскированная страница с фирменным логотипом Okta просит ввести имя пользователя и пароль. Далее — привычная рутина с FIDO-ключом. Только теперь система внезапно предлагает не нажать кнопку на брелоке, а просканировать загадочный QR-код.

В этот момент за кулисами уже идет спектакль: злоумышленники ввели ваши данные в свой сервис и включили функцию "межустройственного входа", чтобы получить тот самый QR-код. Как только вы сканируете его с телефона — ваша учетка подарена неизвестно кому. Криптощит оказался софтовым решетом.

Как защититься? Во-первых, включить Bluetooth proximity в настройках FIDO-ключей: QR-код сработает только если телефон рядом с компьютером. Во-вторых, компании должны учить сотрудников искать подвох: подозрительные страницы, неожиданные QR-коды, нелепые URL. Ну и наконец, IT-специалисты обязаны мониторить логи входов — подозрительные попытки с QR-кодами или новые регистрации FIDO могут оказаться намеком на вторжение.

Эта история доказывает: даже хардкорная защита не спасает от человеческой наивности и софтовых компромиссов. QR-код? Да кто бы мог подумать.