Державна служба спеціального зв’язку та захисту інформації України закликала органи влади, бізнес і громадян відмовитися від застарілих способів захисту акаунтів і перейти на багатофакторну автентифікацію, стійку до фішингу.
За даними служби, навіть складні паролі вже не забезпечують належного захисту. Популярні методи другого фактора, зокрема SMS-коди та push-сповіщення, активно компрометують зловмисники. У повідомленні Держспецзв’язку наголошується, що еволюція кіберзагроз і впровадження концепції нульової довіри вимагають оновлення безпекових політик як у державних установах, так і серед приватних користувачів. Найслабшою ланкою вважають однофакторну автентифікацію, що покладається лише на статичний пароль.
Фахівці служби виділили основні способи обходу застарілих систем захисту: перехоплення SMS через уразливості мобільних мереж або шахрайську заміну SIM-карт; атаки посередника, коли зловмисники створюють копії легітимних сайтів і викрадають сесійні токени браузера після введення пароля та коду; а також «втому від автентифікації», коли хакери надсилають сотні запитів на підтвердження входу, доки користувач не натисне «Схвалити» рефлекторно.
У Держспецзв’язку пояснили, що сесійні токени — це тимчасові «цифрові перепустки», які сайт видає браузеру після введення пароля, щоб не вимагати повторного підтвердження особи. Викрадення таких токенів дозволяє зловмисникам входити в акаунт без пароля чи SMS-коду.
Відомство рекомендує переходити на безпарольні технології, що базуються на поєднанні щонайменше двох незалежних факторів: знання, володіння та біометричної притаманності. Посилаючись на рекомендації Національного інституту стандартів і технологій США, Держспецзв’язку радить збільшити мінімальну довжину пароля до 64 символів і відмовитися від примусової регулярної зміни паролів без ознак компрометації.
Найнадійнішими визнані апаратно-прив’язані ключі безпеки FIDO2 та технології локальної біометричної верифікації, як-от Apple Face ID чи Windows Hello. Ці рішення криптографічно прив’язані до конкретного домену, тому пристрій виявляє фішингові сайти і блокує вхід.
Для мінімізації ризиків кіберінцидентів у Держспецзв’язку запропонували конкретні кроки: перевести робочі та особисті акаунти на обов’язкове використання апаратних ключів FIDO2, Passkeys або біометричної автентифікації; увімкнути режим зіставлення чисел у мобільних додатках-автентифікаторах замість простих кнопок «Схвалити/Відхилити»; відмовитися від одноразових кодів через SMS чи дзвінки на користь програмних TOTP-генераторів або апаратних рішень; суворо контролювати процедуру відновлення доступу, виключивши верифікацію лише за анкетними даними чи «секретними запитаннями»; а бізнесу — інтегрувати багатофакторну автентифікацію з аналізом ризиків за геолокацією, типом пристрою і часом входу.
У службі підкреслили: "Безпека будь-якої інформаційної системи визначається надійністю її найслабшого елемента."