Cisco VPN's zonder multifactorauthenticatie (MFA) zijn het doelwit van ransomware-aanvallen, zo heeft het netwerkbedrijf bekendgemaakt. Het gaat om aanvallen door criminelen achter de Akira-ransomware, die het voorzien hebben op organisaties die geen MFA voor hun VPN-gebruikers hebben ingeschakeld. De Akira-groep zou sinds afgelopen maart actief zijn. Begin deze maand meldde een beveiligingsonderzoeker op X dat Cisco VPN's zonder MFA door de criminelen werden aangevallen.

Volgens Cisco hebben de aanvallers vermoedelijk gebruikgemaakt van bruteforce-aanvallen om toegang tot de VPN-server te krijgen of is er gebruik van gestolen inloggegevens gemaakt, die bijvoorbeeld via online fora zijn aangeschaft. Cisco weet dit echter niet met zekerheid, omdat bij de aangevallen Cisco VPN-servers geen logging was ingeschakeld. "Dit maakt het lastig om te bepalen hoe de Akira-groep toegang tot de VPN's heeft gekregen", zegt Omar Santos van Cisco.

Volgens Santos laten de ransomware-aanvallen het belang van MFA zien. "Door MFA te implementeren kunnen organisaties de kans van ongeautoriseerde toegang, waaronder potentiële ransomware-infecties, aanzienlijk verkleinen. Als een aanvaller ongeautoriseerde toegang krijgt tot de VPN-inloggegevens van een gebruiker, bijvoorbeeld via een bruteforce-aanval, biedt MFA een aanvullende beveiligingslaag om te voorkomen dat de aanvaller toegang tot de VPN krijgt."