Tweefactorauthenticatie (2FA) vormt een aanvullende beveiligingslaag voor accounts, maar het is geen wondermiddel tegen phishingaanvallen, zo stelt securitybedrijf FireEye dat een tool heeft ontwikkeld waarmee phishingaanvallen tegen tweefactorauthenticatie zijn uit te voeren.

Bij 2FA moeten gebruikers naast hun wachtwoord een extra code invoeren die bijvoorbeeld via sms of een authenticator is verkregen. Het idee is dat als een aanvaller het wachtwoord van een gebruiker heeft bemachtigd, hij nog steeds niet op het account kan inloggen omdat hij niet over de aanvullende code beschikt. Veel gebruikers maken echter geen gebruik van deze beveiligingsmaatregel, zo liet Google onlangs weten.

Daarnaast moeten ook gebruikers die tweefactorauthenticatie wel hebben ingeschakeld opletten, aangezien er in het verleden verschillende phishingaanvallen zijn geweest waarbij werd geprobeerd om ook de de 2FA-codes te stelen. De aanvallers konden zo alsnog inloggen op het account van hun slachtoffer.

Dergelijke aanvallen worden echter genegeerd, omdat er wordt gedacht dat ze lastig zijn uit te voeren, aldus FireEye. Om aan te tonen dat dit niet het geval is werd de ReelPhish-tool ontwikkeld. De phishingsite die met de tool wordt opgezet vraagt naast gebruikersnaam en wachtwoord ook om de 2FA-code van het slachtoffer. De inloggegevens en 2FA-code worden naar de aanvaller doorgestuurd, zodat die op het account kan inloggen. Het slachtoffer krijgt vervolgens een "inloggen succesvol" pagina te zien.

Ondanks de tool geeft FireEye gebruikers en organisaties het advies om tweefactorauthenticatie te blijven gebruiken, aangezien het een aanvullende beveiligingslaag vormt. "Door ReelPhish vrij te geven hopen we de noodzaak van een meerlaagse beveiliging aan te tonen en het gebruik van een enkel beveiligingsmechanisme te ontmoedigen", aldus het securitybedrijf. Daarbij wordt opgemerkt dat de tool alleen is bedoeld voor securityprofessionals bij het uitvoeren van penetratietests. ReelPhish is via GitHub te downloaden.