ENISA adviseert tegen gebruik van sms voor 2FA-codes wegens sim-swapping
Wegens het risico van sim-swapping doen zowel eindgebruikers als banken er verstandig aan om codes voor tweefactorauthenticatie (2FA), waarmee erop een account kan worden ingelogd, niet via sms te versturen, maar hiervoor een app te gebruiken. Dat adviseert het Europees Agentschap voor cyberbeveiliging (ENISA).
Bij sim-swapping weten criminelen het telefoonnummer van een slachtoffer over te zetten op een simkaart waarover zij beschikken. De oorspronkelijke simkaart heeft daardoor geen toegang meer tot het netwerk, waardoor slachtoffers niet meer kunnen bellen, berichten versturen of mobiel internetten. Via het overgenomen telefoonnummer kunnen vervolgens accounts van het slachtoffer worden overgenomen, bijvoorbeeld door het opvragen van 2FA-codes en het uitvoeren van wachtwoordresets.
Om de sim-swap uit te voeren doen criminelen zich voor als het slachtoffer en bellen de telecomprovider om het nummer van het slachtoffer over te zetten. Ook komt het voor dat medewerkers van telecombedrijven worden omgekocht en vervolgens de sim-swap op verzoek van criminelen uitvoeren. Aangezien aanvallers gebruikmaken van persoonlijke informatie van het slachtoffer adviseert ENISA om geen privédata te verstrekken aan mensen die zich als medewerker van de telecomprovider voordoet en de hoeveelheid dat op websites en social media te beperken.
Verder wordt eindgebruikers aangeraden om bij het gebruik van tweefactorauthenticatie niet voor sms te kiezen, maar de 2FA-codes via een app te genereren. Ook geeft ENISA banken het advies om te stoppen met sms voor tweefactorauthenticatie en over te stappen op app-gebaseerde 2FA. "De laatste bankfraudes die met sim-swapping verband houden suggereren dat sms-2FA geen voldoende beveiligingsniveau biedt", aldus het Europees agentschap.
Aangezien app-gebaseerde 2FA afhankelijk is van biometrie, een pincode of wachtwoordgebaseerde authenticatie van de gebruiker, is er geen risico dat de 2FA-code wordt onderschept zoals met sms het geval is. ENISA voegt toe dat veel banken al 2FA-apps voor het autoriseren van transacties gebruiken en zo tweefactorauthenticatie via sms aan het vervangen zijn.
Mochten er nog telco's zijn die deze methode nog niet kennen, dan wordt het hoog tijd dit zo snel mogelijk door te voeren.
Mochten er nog telco's zijn die deze methode nog niet kennen, dan wordt het hoog tijd dit zo snel mogelijk door te voeren.
1) We hebben (ook in NL) gevallen gehad van corrupt personeel in de telefoonwinkel (en/of bij de operator).
2) Niet heel Europa is hetzelfde - en de E in Enisa staat voor Europees .
3) Met covid in gedachten is systemen bouwen die afhangen van "mensen moeten naar een winkel komen" geen toekomstvaste strategie.
Je hebt werkelijk geen idee waar je over praat. 2FA houdt veel meer tegen dan dat het toe laat. En 2x SPoF? Laat me niet lachen. Kijk eens hoe vaak Google is gehackt nadat ze hun token verplicht hebben gesteld.
—-
2FA over sms is en was een slecht idee, zoek maar eens na wat het ss7 protocol doet. Het is niet voor niets dat NIST al jaren 2FA door middel van SMS afraadt. Ik snap niet dat Enisa daar zo lang over gedaan heeft.
Mochten er nog telco's zijn die deze methode nog niet kennen, dan wordt het hoog tijd dit zo snel mogelijk door te voeren.
1) We hebben (ook in NL) gevallen gehad van corrupt personeel in de telefoonwinkel (en/of bij de operator).
2) Niet heel Europa is hetzelfde - en de E in Enisa staat voor Europees .
3) Met covid in gedachten is systemen bouwen die afhangen van "mensen moeten naar een winkel komen" geen toekomstvaste strategie.
Toen ik een nieuw sim kaartje nodig had (mijn - toen - nieuwe GSM telefoon gebruikt nano sim formaat en ik durfde het niet aan om mijn circa 20 jaar oude sim kaartje kleiner te knippen) ben naar een Vodafone winkel gestapt. Ik heb toen zonder mij te hoeven legitimeren en zonder het oude sim kaartje te laten zien voor EUR 5 een nieuw sim kaartje voor mijn nummer gekregen. We hebben het nieuwe sim kaartje (op mijn verzoek) even getest, maar als ik dat niet had gevraagd was ik zonder enige controle de deur uitgelopen.
Het zou natuurlijk kunnen dat Vodafone tegenwoordig veel beter controleert, maar ik denk het niet.
https://www.security.nl/posting/733594/Mandiant%3A+aanvallers+omzeilen+MFA+via+herhaaldelijke+pushnotificaties
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
