虽然越来越多的公司正在使用 MFA 来提高安全性，但微软警告说它并非万无一失。“不幸的是，攻击者也在寻找新的方法来规避这种安全措施，”365 Defender 研究团队表示。
根据一份新报告，即使启用了MFA，使用中间对手(AiTM) 网络钓鱼网站的大规模网络钓鱼活动 也会窃取密码、劫持登录会话并跳过身份验证过程。
随着越来越多的人在线访问高价值账户，双因素身份验证 （2FA） 和多因素身份认证（MFA） 越来越受欢迎。在2019年12月的一份报告中，安全公司Duo Security发现，采用2FA的用户在两年内几乎翻了一番，53%的受访者使用2FA作为其部分账户（2017年为 28%）。根据这项研究，年轻人更加容易接受2FA和MFA，超过三分之二（34岁以下）年轻人在一些账户上使用2FA，而65岁或以上的人中，只有三分之一的人使用这种技术。
但是，随着越来越多的用户开始使用多重身份验证（MFA）加强端点安全，我们也看到攻击者也正在马不停蹄地设计新的方法来规避MFA技术，其中一些尝试已经取得巨大成功。
据微软称，自 2021 年 9 月以来，AiTM 网络钓鱼活动已针对 10,000 多家公司，并在新博客中详细介绍了这一威胁。在一个示例中，攻击者向不同公司的多个收件人发送了包含 HTML 文件附件的电子邮件，告知他们有语音消息。
据微软 365 Defender 研究团队称，攻击者随后使用窃取的账号密码和会话 cookie 访问受影响用户的邮箱，并对其他目标执行商业电子邮件攻击活动。
在最新的攻击中，攻击者在目标用户和模拟网站之间部署了代理服务器。这允许攻击者拦截用户的密码和会话 cookie，以证明他们与网站的持续和经过身份验证的会话。“由于 AiTM 网络钓鱼窃取了会话 cookie，攻击者代表用户获得了会话的身份验证，无论后者使用何种登录方法，”微软解释说。
此外，Microsoft 建议组织使用条件访问策略来补充 MFA。这会看到使用其他身份驱动信号（例如用户或组成员资格、IP 位置信息和设备状态）评估的登录请求。
专家观点
独立安全研究员 Sean Wright 表示，攻击者正在利用网络钓鱼技术来获取会话 cookie 和账号密码，这“很有趣”。“这些攻击显示了完善的安全控制以及 MFA 和加密通信（如 HTTPS）等功能的重要性。”
一切皆可破解。因此，MFA不是可以让企业安全管理者高枕无忧的“万灵药”。企业还需要在正确部署MFA的基础上，加强对最终用户识别攻击的安全意识培训。仅仅拥有MFA并不意味着对攻击免疫。
