パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Uber や Rockstar Games への不正アクセスは「多要素認証疲れ」攻撃だった」記事へのコメント

  • by Anonymous Coward

    攻撃者はユーザー名とパスワードと、そのユーザーに対する直接の連絡手段(電話番号など)を入手する。
    攻撃者はユーザー名とパスワーを使って何度もログイン試行する。
    するとシステムが何度もユーザーに対して「このログインを承認しますか」というような問い合わせをユーザーにする。
    ユーザーはそのログインに心当たりがないから普通は承認しないんだけど、脊髄反射で承認ボタン押す人や操作ミスなどで承認してしまうこともある。(攻撃成功。この場合は連絡手段の入手不要)
    今回は、攻撃者がユーザーに対して電話して管理者を装って「承認操作してください」って頼むことで攻撃成功させた。

    #コロナ感染のせいでブレインフォグとかで脳の理解力が落ちたのかな。最近記事読んでもすんなり理解できないことが多い(でもその現象が発生するのスラドの記事だけ)

    • by Anonymous Coward

      プッシュ通知で承認しますか?Y/Nってのがまずいんでしょ。
      普通は通知で送った番号を入力させるんじゃない?

      • Re: (スコア:3, すばらしい洞察)

        by Anonymous Coward

        まぁ、普通に考えて「承認」「拒否」って選択肢はおかしいんだよね。
        「サインイン」「操作ミス」「通報」という3つが良いと思う。
        自分でサインイン操作して拒否するフローはいらないよね。
        拒否する様な場面は、自分の操作ミスか、他人がなりすまそうとしてる以外に無いのだから、そこは切り分け無いとダメでしょ。

        コンシューマ向けで人数が多ければ、確かにサポートコスト低減の為に、ある程度スルーは有りとしても、従業員向けなら、攻撃されたら即座に対応しないと、何のために多要素認証で時間稼ぎしてるのか分からないですよね。
        多要素認証を攻撃への防御と勘違いしてる人が居るんでしょうね。ただ複雑性を上げる為だけの牽制手法なのに。

        • by Anonymous Coward

          「拒否」が実際「通報」として取り扱うアクションでは。

          「操作ミス」ってなんだろう。

          • by Anonymous Coward on 2022年10月02日 14時28分 (#4337137)

            ログイン必要無いのに、ブラウザの自動入力で開いたりとか、通知が遅れてて二回ログイン操作してしまった時とか、自分で認識している範囲での、不要な認証要求は結構あるでしょう。
            それをいちいち通報するのは、心理的に障壁が高いし、不要なのに許可するのもリスクが高い。
            システム管理側は、そこを切り分けるのが難しい(確認とかコストが掛かる)ので、処理能力によってはスルーすることになる。

            親コメント
            • by Anonymous Coward

              それは承認でいいだろう?

Stay hungry, Stay foolish. -- Steven Paul Jobs

処理中...