Tweefactorauthenticatie is overal. Vanaf het moment dat u zich aanmeldt bij uw Gmail-account tot toegang tot uw financiële gegevens via PayPal, is 2FA er om u te begroeten als een veiligere manier om in te loggen. U vindt het zelfs bij het instellen van een PS5 of Xbox Series X. Heck , de kans is groot dat je het vandaag al gewend bent.
2FA, ook bekend als multi-factor authenticatie, is een extra beveiligingslaag - die door vrijwel elk online platform wordt gebruikt - die veel hackers op laag niveau tegenhoudt en al uw waardevolle privégegevens beschermt tegen inbreuken.
- De beste telefoondeals in 2022-2023
- Ontdek de beste smartphones in 2022-2023
Helaas, hacktactieken zijn voortdurend in ontwikkeling, en het enige dat nodig is, is een sluwe cybercrimineel om een klein gaatje in het pantser te vinden en naar hartenlust te plunderen wat ooit ondoordringbare accounts waren. Maar je hoeft geen kei te zijn in het decoderen van code om toegang te krijgen tot het account van een nietsvermoedend slachtoffer.
Volgens het Verizon Data Breach Investigations Report 2022-2023 had 61% van de 5.250 bevestigde beveiligingsinbreuken die de Amerikaanse netwerkoperator analyseerde betrekking op gestolen inloggegevens. Het doel van multi-factor authenticatie is natuurlijk om te voorkomen dat kwaadwillende actoren toegang krijgen tot een account, zelfs als ze een supergeheim wachtwoord ontdekken.
Maar net zoals Scar Mufasa achterliet om in een van de grootste verraad aller tijden ten onder te gaan, kan de beveiligingsmethode ook de hoofdoorzaak zijn van cybercriminele activiteiten. De echte verrader? Uw oude telefoonnummer.
Om een beter beeld te krijgen van hoe aanvallers gemakkelijk tweefactorauthenticatie tegen u kunnen gebruiken, kunt u het beste weten wat de online beveiligingsmethode is en hoe deze werkt. Als het helpt, denk dan aan je oude telefoonnummer als Scar in dit stuk.
Wat is tweefactorauthenticatie?
Multi-factor authenticatie (MFA) is een digitale authenticatiemethode die wordt gebruikt om de identiteit van een gebruiker te bevestigen en hem toegang te geven tot een website of app door middel van ten minste twee bewijsstukken. Tweefactorauthenticatie, beter bekend als 2FA, is de meest gebruikte methode.
Om 2FA te laten werken, moet een gebruiker ten minste twee belangrijke inloggegevens hebben om in te loggen op een account (waarbij multifactor meestal meer dan drie verschillende details omvat). Dit betekent dat als een niet-geautoriseerde gebruiker een wachtwoord in handen krijgt, hij nog steeds toegang nodig heeft tot een e-mail of telefoonnummer dat is gekoppeld aan het account waar een speciale code naar wordt verzonden voor een extra beveiligingsniveau.
Een bank heeft bijvoorbeeld een gebruikersnaam en wachtwoord nodig om een gebruiker toegang te geven tot zijn rekening, maar heeft ook een tweede vorm van authenticatie nodig, zoals een unieke code of vingerafdrukherkenning om de identiteit van een gebruiker te bevestigen. Deze tweede factor kan ook worden gebruikt voordat een transactie wordt gedaan.
Zoals uitgelegd door softwarebedrijf Ping Identity, zijn de vereiste inloggegevens van 2FA opgesplitst in drie verschillende categorieën: "wat je weet", "wat je hebt" en "wat je bent". In termen van "wat u weet", of uw kennis, komt dit neer op uw wachtwoorden, pincode of antwoord op een beveiligingsvraag zoals "wat is de meisjesnaam van uw moeder?" (iets wat ik me nooit lijk te herinneren).
"Wat je bent" is misschien wel de meest veilige categorie, omdat het je identiteit bevestigt aan de hand van een fysieke eigenschap die alleen voor jou uniek is. Dit wordt meestal gezien op smartphones, zoals een iPhone of Samsung Galaxy-telefoon, waarbij biometrische authenticatie zoals een vingerafdruk of gezichtsscan wordt gebruikt om toegang te krijgen.
Wat betreft "wat je hebt", dit verwijst naar wat je in je bezit hebt, wat van alles kan zijn, van een smart device tot een smartcard. Over het algemeen betekent deze methode dat u een pop-upmelding op uw telefoon ontvangt via sms die moet worden bevestigd voordat u toegang krijgt tot een account. Voor alle professionals die Google Gmail voor bedrijven gebruiken, bent u deze categorie tegengekomen.
Helaas is die laatste categorie reden tot bezorgdheid, vooral als je recycling van telefoonnummers in de mix gooit.
Telefoonnummer recyclen
Volgens de Federal Communications Commission (FCC) worden meer dan 35 miljoen nummers in de VS losgekoppeld en komen ze weer beschikbaar door ze elk jaar opnieuw toe te wijzen aan een nieuwe abonnee. Natuurlijk, getallen zijn oneindig en zo, maar er zijn maar zoveel combinaties van 10 of 11 cijfers die een mobiel netwerk zijn klanten kan bieden.
Het Britse Office of Communications (Ofcom), de entiteit die mobiele nummers toewijst aan Britse netwerkproviders, stelt (via The Evening Standard) dat het een strikt "gebruik het of verliest het"-beleid voor betalen per gebruik mobiele nummers. Vodafone verbreekt de verbinding en recyclet een telefoonnummer na slechts 90 dagen zonder activiteit, terwijl O2 dit na 12 maanden doet.
In de VS laten netwerkproviders, waaronder Verizon en T-Mobile, klanten via hun website of app de beschikbare nummers wijzigen en kiezen die worden weergegeven op online nummerwijzigingsinterfaces. Er zijn miljoenen gerecyclede telefoonnummers beschikbaar, en er komen er elke dag meer bij.
Gerecycleerde nummers kunnen schadelijk zijn voor degenen die ze oorspronkelijk bezaten, aangezien veel platforms, waaronder Gmail en Facebook, zijn gekoppeld aan uw mobiele nummer voor wachtwoordherstel of, en hier is de kicker, tweefactorauthenticatie.
Hoe 2FA u in gevaar brengt
Een onderzoek aan de Princeton University ontdekte hoe gemakkelijk iemand een gerecycled telefoonnummer kan krijgen en het kan gebruiken voor verschillende veelvoorkomende cyberaanvallen, waaronder het overnemen van accounts en zelfs het weigeren van toegang tot een account door het te gijzelen en losgeld te vragen in ruil voor toegang.
Volgens het onderzoek kan een aanvaller beschikbare nummers vinden en controleren of deze zijn gekoppeld aan online accounts van vorige eigenaren. Door hun online profielen te bekijken en te controleren of hun oude nummer is gekoppeld, kunnen aanvallers het gerecyclede nummer kopen (slechts $ 15 bij T-Mobile) en het wachtwoord van de accounts opnieuw instellen. Met behulp van 2FA ontvangen en voeren ze vervolgens de speciale code in die via sms is verzonden.
De onderzoekers testten 259 nummers die ze hadden verkregen via de twee Amerikaanse mobiele providers en ontdekten dat 171 van hen een gekoppeld account hadden op ten minste een van de zes veelgebruikte websites: Amazon, AOL, Facebook, Google, PayPal en Yahoo. Dit wordt een 'reverse lookup-aanval' genoemd.
Onderzoekers vonden een andere variant van de aanval waarmee kwaadwillende actoren accounts konden kapen zonder een wachtwoord opnieuw in te stellen. De online zoekservice voor mensen gebruiken BeenVerified, een hacker kon een e-mailadres zoeken met behulp van een gerecycled telefoonnummer en vervolgens controleren of de e-mailadressen betrokken waren bij datalekken met behulp van Have I Been Pwned?. Als ze dat hadden gedaan, zou de aanvaller het wachtwoord kunnen kopen op een cybercriminele zwarte markt en inbreken in een 2FA-account zonder dat een wachtwoord opnieuw hoeft te worden ingesteld.
Om het nog erger te maken, kunnen aanvallers ook je account gijzelen. Een vervelende truc is dat een hacker een nummer bemachtigt om zich aan te melden bij verschillende online services waarvoor een telefoonnummer nodig is. Eenmaal voltooid, stoppen ze de service, zodat het nummer kan worden gerecycled zodat een nieuwe abonnee het kan gaan gebruiken. Wanneer de nieuwe gebruiker zich probeert aan te melden voor dezelfde services, wordt de hacker via 2FA op de hoogte gebracht en wordt hem de mogelijkheid ontzegd om de service te gebruiken. De dreigingsactor zal het slachtoffer vervolgens vragen om losgeld te betalen als hij gebruik wil maken van deze online diensten.
Het op deze manier gebruiken van 2FA is afschuwelijk, maar dat weerhoudt het er niet van. T-Mobile heeft het onderzoek in december beoordeeld en herinnert abonnees er nu aan hun telefoonnummer op bankrekeningen en sociale-mediaprofielen bij te werken op de ondersteuningspagina voor nummerverandering. Maar dat is alles wat de vervoerder kan doen, wat betekent dat degenen die niet op de hoogte zijn, openstaan voor aanvallen.
Alternatieve manieren om 2FA . te gebruiken
Als er iets is, zijn telefoonnummers en 2FA niet erg goed. Het goede nieuws is echter dat er nu meer opties beschikbaar zijn bij het gebruik van 2FA, waaronder de bovengenoemde biometrische methoden of authenticator-apps.
Deze opties zijn echter niet altijd beschikbaar en soms bieden online services u slechts twee opties voor 2FA: uw telefoonnummer of uw e-mailadres. Als u niet wilt dat hackers door uw privégegevens snuffelen, kunt u het beste kiezen voor e-mailverificatie. Natuurlijk zijn er mensen die hun e-mail niet altijd gebruiken en na verloop van tijd vaak hun wachtwoord vergeten. Geen wachtwoord, betekent geen manier om een authenticatiecode te verkrijgen.
Om dit op te lossen, kun je het beste een wachtwoordbeheerder zoeken. LastPass was jarenlang de go-to dankzij de gratis service, maar er zijn andere kanshebbers die het bekijken waard zijn.
"Maar wat als ik mijn telefoonnummer al voor 2FA gebruik?" Ik hoor je vragen. Als u overweegt uw telefoonnummer te wijzigen, zorg er dan voor dat u uw telefoonnummer ontkoppelt van de online services waarmee het is verbonden voordat u overstapt. En als je de overstap al hebt gemaakt, is het de moeite waard om je accounts bij te werken om littekens (telefoonnummers) te verwijderen die op de loer liggen om je in de rug te steken wanneer je het het minst verwacht.
Outlook
Twee-factor-authenticatie is overal, en het is hier om te blijven. Google zal je binnenkort zelfs dwingen om 2FA te gebruiken bij het inloggen, waarbij de techgigant instaat voor een "veiligere toekomst zonder wachtwoorden". Dit is geen slecht idee, maar er is potentieel voor veel mensen om hun telefoonnummers te gebruiken als een manier om geïdentificeerd te worden. We zijn er zeker van dat hackers op laag niveau dat leuk vinden.
Om te voorkomen dat dit gebeurt, hoef je, zodra 2FA alle online platforms begint over te nemen, alleen maar de titel van dit artikel te lezen en ons advies op te volgen.