2FA-App: Wenn der zweite Faktor hundertmal klingelt

Statt auf etablierte Verfahren wie Fido oder TOTP zu setzen, gehen immer mehr Anbieter dazu über, ein eigenes 2FA-System einzurichten. Bei einem Log-in-Versuch erhalten die Account-Eigentümer eine Push-Nachricht in einer App auf ihrem Smartphone oder einen Anruf. Erst wenn sie die Push-Nachricht bestätigen oder den Anruf annehmen und per Tastendruck bestätigen, können sie sich anmelden. Eine entsprechende Funktion bietet beispielsweise Microsoft 365.

Das soll besonders komfortabel sein, bringt aber auch ein großes Problem mit sich: Wie reagiert eine abgelenkte oder schlaftrunkene Person, die mit Log-in-Versuchen bombardiert wird? Mit der MFA-Bombing genannten Technik gelang es beispielsweise der Hackergruppe Lapsus$, die Multi-Faktor-Authentifizierung von Microsoft zu umgehen und das Unternehmen zu hacken.

"Rufe den Angestellten 100-mal um 1 Uhr nachts an, während er versucht zu schlafen, und er wird ihn höchstwahrscheinlich irgendwann annehmen. Sobald der Mitarbeiter einen Anruf annimmt [und die #-Taste drückt], kann auf das MFA-Registrierungsportal zugegriffen und ein weiteres Gerät registriert werden", erklärte ein Mitglied in der Lapsus$-Telegram-Gruppe nach dem Hack.

Hackergruppen hebeln 2FA-Apps und -Anrufe aus

Neben Lapsus$ hat auch die Hackergruppe Nobelium den Angriffsvektor in der Vergangenheit erfolgreich genutzt und "mehrere MFA-Anfragen an das legitime Gerät des Endbenutzers geschickt, bis der Benutzer die Authentifizierung akzeptierte, was dem Bedrohungsakteur schließlich den Zugriff auf das Konto ermöglichte", schreiben Forscher der Sicherheitsfirma Mandiant.

Voraussetzung für eine erfolgreiche Attacke ist dabei natürlich wie bei den anderen 2FA-Systemen auch, dass die Angreifer bereits über die Zugangsdaten zu dem entsprechenden Konto verfügen und nur noch den zweiten Faktor aushebeln müssen. Dies scheint bei Push-Nachrichten oder Anrufen jedoch besonders einfach zu sein. Die Sicherheit ist entsprechend fragwürdig, der Nervfaktor hingegen hoch.