Door Anoniem: Maar wat denken we van die 20% waarbij 2FA niet een hack voorkomt? Maar misschien er wel voor zorgt dat je niet meer bij je data komt omdat je je 2FA kwijt raakt? Voor een bedrijf is dat geen probleem, maar voor zelfs ervaren gebruikers is het heel vervelend als ze zichzelf buitensluiten van hun Microsoft Account of iets vergelijkbaars. Dan moet je al snel denken aan het opsturen van een kopie paspoort of iets dergelijks waarvan niet duidelijk is hoe veilig en hoe lang die wordt opgeslagen aan de andere kant van de oceaan.

Door Anoniem: Maar wat denken we van die 20% waarbij 2FA niet een hack voorkomt? Maar misschien er wel voor zorgt dat je niet meer bij je data komt omdat je je 2FA kwijt raakt? Voor een bedrijf is dat geen probleem, maar voor zelfs ervaren gebruikers is het heel vervelend als ze zichzelf buitensluiten van hun Microsoft Account of iets vergelijkbaars. Dan moet je al snel denken aan het opsturen van een kopie paspoort of iets dergelijks waarvan niet duidelijk is hoe veilig en hoe lang die wordt opgeslagen aan de andere kant van de oceaan.

Door Anoniem: Maar wat denken we van die 20% waarbij 2FA niet een hack voorkomt? Maar misschien er wel voor zorgt dat je niet meer bij je data komt omdat je je 2FA kwijt raakt? Voor een bedrijf is dat geen probleem, maar voor zelfs ervaren gebruikers is het heel vervelend als ze zichzelf buitensluiten van hun Microsoft Account of iets vergelijkbaars. Dan moet je al snel denken aan het opsturen van een kopie paspoort of iets dergelijks waarvan niet duidelijk is hoe veilig en hoe lang die wordt opgeslagen aan de andere kant van de oceaan.

Important: If you turn on two-step verification, you will always need two forms of identification. This means that if you forget your password, you need two contact methods. Or if you lose your contact method, your password alone won't get you back into your account—and it can take you 30 days to regain access. You may even lose access to the account. For that reason, we strongly recommend you have three pieces of security info associated with your account, just in case.

Voor een bedrijf is dat geen probleem, maar voor zelfs ervaren gebruikers is het heel vervelend als ze zichzelf buitensluiten van hun Microsoft Account of iets vergelijkbaars

Door Anoniem: Hoe meet je dat iets 80% voorkomen is?

Announcing mandatory multi-factor authentication for Azure sign-in
Published Aug 15, 2024
[...]
As recent research [1] by Microsoft shows that multifactor authentication (MFA) can block more than 99.2% of account compromise attacks, making it one of the most effective security measures available, today’s announcement brings us all one step closer toward a more secure future.

How effective is multifactor authentication at deterring cyberattacks?
Alex Weinert, Sergio Romero, Gabriele Bertoli: Microsoft Identity Security; Lucas Augusto Meyer, Juan Lavista Ferres: Al for Good Lab; Tom Burt: Customer Security & Trust
[...]
Our findings reveal that MFA implementation offers outstanding protection, with over 99.99% of MFA-enabled accounts remaining secure during the investigation period. Moreover, MFA reduces the risk of compromise by 99.22% across the entire population and by 98.56% in cases of leaked credentials.
[...]
Methodology and Data
Our goal is to determine the effectiveness of MFA in preventing account compromise in the population of commercial accounts. It is generally not possible for an authentication provider to obtain the exact number of account compromises in a population without resorting to sampling and manual reviews. When users detect an account compromise, they may simply change their passwords and not notify their administrators. Even when the administrators are notified, they may choose not to notify the authentication provider. Therefore, methods that rely on the authentication provider using reported account compromises will result in an undercount of the actual rate. On the other hand, it is cost-prohibitive for an authentication provider that has billions of accounts to manually review all suspected compromises. Therefore, we have to rely on sampling methods.

To achieve our goal, we obtained a list of active Microsoft Azure Active Directory users that had their account reviewed due to suspicious activity between April 22, 2022, and September 22, 2022. Some accounts had MFA configured, and some did not. If the account had suspicious activity and had MFA configured, a challenge was automatically issued. A sample of the sessions was retroactively reviewed by a specialized team that examines account logs and determines whether a compromise occurred or not. If a compromise was detected, the account was sanitized, and the user notified. To estimate the proportion of compromised accounts in the whole population, we use the benchmark multiplier method [14], commonly used in epidemiological research in situations where individuals tend to underreport the actual frequency of an event. The benchmark multiplier method requires two datasets: one, the benchmark, has a complete and accurate count of the event being studied for a subgroup of the population. The other dataset is a representative sample from the population, used to estimate the proportion of the population represented by the benchmark. The reciprocal of that proportion is called the multiplier.
[...]

Door Anoniem: Het is niet perfect, maar het is veter dan alleen een wachtwoord aangezien er minder mensen worden gehacked dan mensen die helemaal geen 2FA gebruiken.