Het inschakelen van twee-factor authenticatie voor e-mailaccounts blijkt een lastig probleem voor phishers te zijn, zo laat onderzoek van het Canadese Citizen Lab zien. De organisatie schrijft over een omvangrijke phishingcampagne gericht tegen Iraanse personen en een directrice van de Amerikaanse burgerrechtenorganisatie EFF.

Twee-factor authenticatie zorgt ervoor dat bij het inloggen een extra code moet worden ingevoerd. Deze code wordt via sms ontvangen of kan via een app worden gegenereerd. De code is echter beperkt geldig. Dit zorgt ervoor dat phishers in real-time moeten proberen om zowel het wachtwoord van het account als de twee-factorcode te bemachtigen. Tijdens de phishingcampagne die Citizen Lab beschrijft werden verschillende tactieken gebruikt. Zo kregen gebruikers een sms-bericht dat van Google afkomstig leek en stelde dat er door iemand anders op het account was ingelogd.

Kort na het sms-bericht werd er een phishingmail verstuurd die voor de verdachte inlogpoging waarschuwde. In het bericht was een link opgenomen waarmee gebruikers hun wachtwoord konden resetten. De link wees naar een phishingsite waar zowel het wachtwoord als een twee-factorcode moest worden ingevoerd. De aanval mislukte waarop de aanvallers in korte tijd meer dan tien sms-berichten naar het doelwit verstuurden om de druk op te voeren.

Journalist

In het geval van de EFF-directrice werd ze gebeld door iemand die zich als journalist voordeed en haar wilde interviewen. Vervolgens kreeg de directrice een e-mail met een link naar een document op phishingpagina. Aangezien de link niet werd geopend raakte de phisher gefrustreerd en verstuurde een nieuw bericht. Uiteindelijk belde hij de directrice op en vroeg gefrustreerd of ze de link wilde open, aangezien de e-mail nu vanaf zijn persoonlijke account was verstuurd.

Volgens Citizen Lab laat de campagne zien dat twee-factor authenticatie, en de oplettendheid van gebruikers, ervoor zorgt dat aanvallers veel meer moeite moeten doen om toegang tot een account te krijgen. Daarbij krijgen gebruikers het advies om een app voor het genereren van de twee-factorcode te gebruiken, aangezien dit meer veiligheid dan een sms-bericht biedt.