Когда у злоумышленников уже есть ключи, многофакторная аутентификация — это всего лишь еще одна дверь, которую нужно открыть.

[zender]

В результате взлома Figure были раскрыты 967 200 электронных писем без единого эксплойта. Понимание того, что это позволяет сделать — и почему ваша многофакторная аутентификация не может это предотвратить — это проблема архитектуры, а не проблема обучения пользователей.


В феврале 2026 года TechRepublic сообщило, что компания Figure, предоставляющая финансовые услуги, в результате утечки данных раскрыла доступ к почти 967 200 электронным письмам. При этом не было обнаружено цепочки уязвимостей. Не было использовано уязвимостей нулевого дня. Доступ к данным был обеспечен, и теперь они находятся в руках злоумышленников.


Освещение подобных утечек данных обычно заканчивается подсчетом. Но это неправильный подход. Количество скомпрометированных записей — это не само событие, а лишь отправная точка для последующего события.


Чтобы понять реальный риск, необходимо шаг за шагом проследить цепочку атак, которая возникает в результате утечки учетных данных, и честно задать себе вопрос, могут ли средства аутентификации в вашей среде прервать ее на каком-либо этапе.


Большинство не могут. Вот почему.

Что делают злоумышленники с 967 000 электронных писем?​

Раскрытые адреса электронной почты — это не статичные данные. Это оперативные входные данные. В течение нескольких часов после того, как подобный набор записей становится доступным, злоумышленники одновременно обрабатывают его в нескольких параллельных процессах.


Первая проблема — это подбор учетных данных. Предположим, что клиенты и сотрудники почти наверняка повторно используют пароли в разных сервисах. Злоумышленники объединяют полученные адреса с базами данных утечек из предыдущих инцидентов — LinkedIn, Dropbox, RockYou2024 — и тестируют полученные пары на корпоративных порталах, VPN-шлюзах, Microsoft 365, Okta и поставщиках идентификационных данных в масштабе предприятия. Автоматизация справляется с большим объемом работы.


Успешность кампаний по подбору учетных данных с использованием новых списков адресов электронной почты обычно составляет от двух до трех процентов. Для 967 000 записей это означает от 19 000 до 29 000 действительных пар учетных данных.


Второй рабочий процесс — это целевой фишинг. Инструменты с поддержкой ИИ теперь позволяют за считанные минуты создавать персонализированные фишинговые кампании на основе списка электронных адресов. В сообщениях упоминается название организации, они имитируют внутреннюю переписку и визуально неотличимы от подлинной корреспонденции.


Целенаправленное таргетирование получателей — с использованием должности, отдела или общедоступных данных LinkedIn для адаптации предложения — является стандартной практикой, а не возможностью, зарезервированной для государственных структур.


Третий метод — социальная инженерия в службах поддержки. Имея действительный адрес электронной почты и базовые знания OSINT, злоумышленники выдают себя за сотрудников, звоня в службу ИТ-поддержки и запрашивая сброс паролей, сброс настроек устройств многофакторной аутентификации или разблокировку учетных записей.


Этот вектор атаки полностью обходит технологию аутентификации — он нацелен на человеческий фактор, который предназначен для обработки сбоев аутентификации.


В каждом из этих рабочих процессов не требуется никаких технических уязвимостей. Цель злоумышленника — не взлом, а вход в систему под учетной записью действительного пользователя. Взлом не создает доступ, а создает условия, при которых доступ становится возможным через саму систему аутентификации.

Почему традиционные многофакторные аутентификации не могут прервать эту цепочку​

Это та часть анализа, которой в большинстве случаев при посмертном анализе инцидентов уделяется недостаточно внимания. Организации, узнав об утечке учетных данных, приходят к выводу, что их система многофакторной аутентификации обеспечивает им защиту. В случае описанной выше цепочки атак этот вывод структурно неверен.


Современные инструменты злоумышленников осуществляют то, что исследователи в области безопасности называют фишинговой атакой в реальном времени, иногда именуемой атакой типа «злоумышленник посередине» (AiTM). Механизм этой атаки отличается высокой точностью.


Злоумышленник создает обратный прокси-сервер, который находится между жертвой и легитимным сервисом. Когда жертва вводит учетные данные на поддельной странице, прокси-сервер в режиме реального времени пересылает эти учетные данные на реальный сайт.


Реальный сайт отвечает запросом на многофакторную аутентификацию (MFA). Прокси-сервер пересылает этот запрос жертве. Жертва отвечает — потому что страница выглядит легитимной, и запрос MFA реален. Прокси-сервер пересылает ответ. Злоумышленник получает аутентифицированную сессию.


Многофакторная аутентификация с помощью push-уведомлений, одноразовые SMS-коды и приложения-аутентификаторы TOTP уязвимы для этой системы. Они аутентифицируют обмен кодом, но не проверяют, является ли лицо, совершающее обмен, авторизованным владельцем учетной записи. Они не могут отличить прямую сессию от прокси-сессии.


Инструментарий, автоматизирующий эту атаку — Evilginx, Modlishka, Muraena и их производные — находятся в открытом доступе, активно поддерживаются и не требуют специальных навыков для работы. Эта возможность не является чем-то экзотическим. Это базовый уровень.


Усталость от многофакторной аутентификации усугубляет ситуацию. Злоумышленники, получившие действительные учетные данные, но не способные передать сессию в режиме реального времени, вместо этого будут запускать повторяющиеся push-уведомления до тех пор, пока пользователь не подтвердит одно из них из-за разочарования или замешательства. Эта атака успешно применялась против организаций с развитыми программами безопасности, в том числе в инцидентах, получивших широкое освещение в СМИ.


Общим моментом для всех этих методов является то, что в устаревших системах многофакторной аутентификации (MFA) человек принимает окончательное решение в цепочке аутентификации, а затем полагается на него в принятии правильного решения в условиях, специально разработанных для обхода системы.

Структурная проблема, которую не может решить программа магистратуры в области изящных искусств, созданная на основе традиций.​

Стандартная реакция индустрии безопасности на сбои аутентификации — это обучение пользователей. Обучите людей распознавать фишинг. Научите их проверять неожиданные запросы на многофакторную аутентификацию. Напомните им не одобрять запросы, которые они не инициировали.


Этот ответ не является неправильным. Он недостаточен, и эта недостаточность носит структурный характер, а не мотивационный.


При использовании ретрансляционной атаки пользователю не нужно распознавать фишинговую страницу. Запрос на многофакторную аутентификацию, который он получает, реален, отправлен легитимным сервисом и доставлен через то же приложение, которым он пользуется каждый день. Пользователю нечего обнаружить в этом аномальном явлении. Атака разработана таким образом, чтобы быть незаметной для человека, участвующего в ней, — и она таковой и является.


Более глубокая проблема заключается в том, что архитектура аутентификации, развернутая большинством организаций, не была разработана для ответа на вопрос, который действительно важен в условиях после взлома: присутствовало ли уполномоченное лицо физически и было ли оно проверено биометрически в момент аутентификации?


Push-уведомления не отвечают на этот вопрос. SMS-коды не отвечают на этот вопрос. TOTP не отвечает на этот вопрос. Аппаратные USB-токены отвечают на связанный, но другой вопрос — они доказывают присутствие зарегистрированного устройства, а не авторизованного лица.


Аудиторы, регулирующие органы и компании, занимающиеся киберстрахованием, все чаще проводят это различие явно. Вопрос «можете ли вы доказать, что уполномоченное лицо присутствовало там?» появляется в оценках CMMC, проверках NYDFS и анкетах андеррайтеров. Присутствие устройства больше не принимается в качестве замены присутствия человека в ситуациях с высоким риском доступа.

Что на самом деле требуется для аутентификации, устойчивой к фишингу?​

В этой дискуссии часто упоминается FIDO2/WebAuthn, и это значимый шаг вперед, но сам по себе он недостаточен. Стандартные реализации паролей привязывают учетные данные к устройству или облачной учетной записи.


Пароли, синхронизированные с облаком, наследуют уязвимости облачной учетной записи: атаки с подменой SIM-карты на номер телефона для восстановления, захват учетной записи путем фишинга учетных данных, эксплуатация алгоритмов восстановления. Пароли, привязанные к устройству, подтверждают владение устройством. Они не подтверждают присутствие человека.


Для обеспечения фишинговой устойчивости и перекрытия вектора атаки через ретранслятор необходимо одновременное наличие трех свойств:

• Криптографическая привязка к источнику: учетные данные аутентификации математически привязаны к точному домену источника. Поддельный сайт не может создать действительную подпись, поскольку домен не совпадает. Атака терпит неудачу еще до передачи каких-либо учетных данных.
• Закрытые ключи, привязанные к аппаратному обеспечению, никогда не покидают защищенное оборудование: ключ подписи невозможно экспортировать, скопировать или украсть. Компрометация конечной точки не скомпрометирует учетные данные.
• Биометрическая верификация авторизованного лица в режиме реального времени: не сохраненный биометрический шаблон, который можно воспроизвести, а сопоставление в реальном времени, подтверждающее физическое присутствие авторизованного лица в момент аутентификации.

Когда присутствуют все три свойства, у атаки с использованием ретрансляции нет жизнеспособного пути. Противник не может получить действительную криптографическую подпись с поддельного сайта. Он не может перенаправить сессию, поскольку криптографическая привязка выходит из строя в момент изменения источника.


Они не могут использовать украденное устройство, потому что биометрическая верификация не проходит без подтверждения авторизованного лица. Они не могут получить подтверждение с помощью методов социальной инженерии, потому что отсутствует запрос на подтверждение — аутентификация либо завершается с совпадением биометрических данных в реальном времени на зарегистрированном устройстве, либо не завершается.

Токен: криптографическая идентификация, подтверждающая личность человека, а не устройства.​

В основе TokenCore лежит один бескомпромиссный принцип: проверять человека, а не устройство, учетные данные или сессию.


Большинство продуктов аутентификации добавляют факторы к слабой основе. Токен заменяет эту основу. Платформа сочетает в себе обязательную биометрическую идентификацию, аппаратную криптографическую аутентификацию и физическую проверку близости — три свойства, которые должны одновременно выполняться для предоставления доступа.


Резервного варианта нет. Пользователь не может ввести в поле код обхода. Либо уполномоченное лицо присутствует и проходит проверку, либо доступ не предоставляется.


Token Это важно именно из-за описанной выше цепочки атак. Платформа биометрической идентификации устраняет каждое звено:

• Фишинг исключен. Каждая аутентификация криптографически привязана к точному домену-источнику. Поддельная страница входа не выдает действительную подпись — токен просто отказывается от аутентификации.
• Повторное воспроизведение невозможно. Закрытый ключ подписи никогда не покидает оборудование. Переданную сессию невозможно восстановить, поскольку криптографические материалы, необходимые для ее копирования, физически недоступны.
• Делегирование полномочий запрещено. Для каждой аутентификации требуется сопоставление отпечатков пальцев в режиме реального времени. Коллега, злоумышленник с украденным устройством или объект социальной инженерии не могут завершить аутентификацию от имени уполномоченного лица.
• Никаких исключений. Нет кода, нет процедуры восстановления и нет обходного пути со стороны службы поддержки, которые могли бы заменить биометрическое присутствие. Контроль абсолютен, потому что риск абсолютен.

Форм-фактор тоже имеет значение. Token работает по беспроводной связи — по Bluetooth, USB-порт не требуется. Аутентификация занимает от одной до трех секунд: пользователь инициирует сеанс, прикладывает свой отпечаток пальца к устройству Token, Bluetooth подтверждает физическое присутствие в пределах трех футов, и доступ предоставляется.


Для дежурных администраторов, операторов торговых площадок и оборонных подрядчиков, работающих на нескольких рабочих станциях, это устраняет препятствия, которые приводят к появлению теневых ИТ-систем и обходным путям, создаваемым устаревшими аппаратными токенами.


В отличие от USB-аналогов, Token можно обновлять по беспроводной сети. По мере развития инструментов противодействия, криптографические средства защиты Token можно обновлять удаленно и мгновенно — без замены оборудования или повторной выдачи устройств. Инвестиции не теряют своей актуальности при изменении угроз.


Токен проверяет человека. Не сессию. Не устройство. Не код. А человека.

Снижайте риски и защищайте от уязвимостей с помощью TokenCore.

Честная оценка​

Взлом Figure приведет к последующим атакам на аутентификацию. То же самое произойдет и со следующим взломом, и со взломом после него. Инфраструктура злоумышленников, которая занимается подбором учетных данных, фишингом с использованием ИИ и атаками с переадресацией в реальном времени, постоянно работает против скомпрометированных записей электронной почты.


Вопрос не в том, будут ли предприняты эти атаки против вашей системы. Они будут предприняты.


Важный вопрос заключается в том, требует ли ваша архитектура аутентификации участия человеческого фактора для успешной работы — или же она разработана таким образом, чтобы человеческий фактор не являлся причиной сбоя.


Традиционные многофакторные аутентификации (MFA) во всех их распространенных формах требуют человеческого суждения. Пользователь должен распознать аномалию, поставить под сомнение запрос и принять правильное решение под давлением противника. Это хрупкая зависимость в критической точке управления, и злоумышленники создали целую цепочку инструментов для ее использования.


Токен устраняет эту зависимость. Устройство подписывает данные для легитимного домена с подтвержденным биометрическим совпадением — или ничего не делает. Нет запроса на манипулирование. Нет решения, которое нужно было бы принимать. Нет исключений.


Это не особенность. Это архитектурное требование аутентификации, которое выполняется в условиях, создаваемых этим нарушением, как и любыми подобными ему.

Узнайте, как Token сокращает разрыв.​

Платформа биометрической аутентификации Token создана для организаций, где сбой аутентификации недопустим — оборонных подрядчиков, финансовых учреждений, предприятий критической инфраструктуры и корпоративных сред с высокими требованиями к доступу.


Криптографический. Биометрический. Беспроводной. Без фишинга. Без повторного воспроизведения. Без делегирования. Без исключений.