Nu orice MFA opreste phishingul

Microsoft imparte metodele de autentificare in trei categorii de tarie, iar clasificarea e publica in documentatia lor. Cea mai slaba dintre ele se numeste, simplu, autentificare multifactor. Cea mai puternica se numeste autentificare multifactor rezistenta la phishing.

Diferenta dintre ele nu e academica. In tabelul oficial, conectarea prin SMS nu bifeaza nicio categorie, nici macar pe cea slaba. Parola urmata de o notificare aprobata in aplicatia Authenticator, combinatia pe care o folosesc cele mai multe firme, bifeaza doar prima categorie. Daca firma ta a bifat “avem 2FA” si a inchis subiectul, merita sa stii in ce coloana esti.

Tabelul pe care Microsoft il publica de ani de zile

In Entra ID, administratorul poate cere o anumita tarie de autentificare pentru accesul la o resursa. Sunt trei predefinite, iar Microsoft precizeaza ca nu pot fi modificate. Ce intra in fiecare:

Randul al cincilea e cel care descrie majoritatea firmelor: parola, urmata de un cod sau de o notificare pe care o aprobi. Bifeaza prima coloana si se opreste acolo. Chiar si varianta mai buna, conectarea fara parola din aplicatie, ramane in afara coloanei din dreapta.

Iar conectarea prin SMS nu bifeaza nimic, nici macar coloana din stanga. Nu e o scapare de redactare: in tabelul Microsoft, casutele ei sunt goale pe toate cele trei.

Documentatia spune si de ce, intr-o singura fraza: categoria rezistenta la phishing cuprinde metodele care cer o interactiune intre metoda de autentificare si suprafata pe care te loghezi. Cu alte cuvinte, metoda trebuie sa stie pe ce site esti de fapt.

Codul e o informatie, iar informatiile se pot transmite

Aici e miezul problemei, si se explica fara jargon. Un cod din SMS, un cod din aplicatie sau o apasare pe butonul de aprobare sunt, toate, informatii pe care le poti da mai departe. Daca esti pacalit sa le dai altcuiva, ele functioneaza la fel de bine in mainile lui.

Microsoft o spune direct in documentatia despre metode de autentificare: MFA clasic cu SMS, cod pe email sau aplicatii de autentificare imbunatateste semnificativ securitatea fata de sisteme cu parola simpla, dar aceste optiuni sunt vulnerabile la atacuri de phishing la distanta. Si continua cu descrierea: intr-un atac de phishing la distanta, atacatorii folosesc inginerie sociala si unelte bazate pe inteligenta artificiala ca sa fure credentiale, precum parole sau coduri de unica folosinta, fara acces fizic la dispozitivul utilizatorului.

O cheie fizica sau un passkey nu se pot transmite asa. Ele verifica criptografic adresa site-ului inainte sa raspunda, iar pe un site care doar seamana cu cel real pur si simplu nu functioneaza. Nu depind de atentia omului din fata ecranului, si asta e toata diferenta.

Ce e furat de fapt nu e parola, ci sesiunea

Partea care schimba discutia pentru un patron e ca atacul modern nu se opreste la parola. Dupa ce te-ai autentificat, browserul primeste un jeton care tine sesiunea deschisa, ca sa nu ti se ceara parola la fiecare pagina. Jetonul acela e ce merita furat: cine il are intra in casuta ta fara sa treaca prin niciun pas de verificare, fiindca verificarea s-a facut deja.

Microsoft trateaza subiectul separat, cu o strategie pe trei paliere: reducerea riscului de furt, detectarea lui si impiedicarea refolosirii jetonului furat. Numele detectiilor din propriile lor produse spun povestea mai bine decat orice explicatie: jeton anormal, atacator la mijloc, cookie de sesiune furat folosit.

Consecinta practica e neplacuta. Poti avea MFA activ, corect configurat, si sa fii totusi compromis, fiindca atacul a ocolit momentul autentificarii in loc sa il atace. Iar daca datele voastre stau in Microsoft 365 sau Google Workspace, merita stiut ca nici furnizorul nu va tine copie de siguranta pe termen lung dupa un incident.

Protectia jetonului exista, dar acopera putin

Microsoft are o functie dedicata, Token Protection, care leaga jetonul de dispozitivul pe care a fost emis. Un jeton furat si dus pe alt calculator e respins automat. Pe hartie e cea mai buna aparare impotriva refolosirii.

In practica, acoperirea e ingusta. Documentatia curenta o descrie ca disponibila general doar pentru aplicatiile native de pe Windows, iOS si macOS, cu resursele Exchange Online, SharePoint Online si Teams. Pentru ce ruleaza in browser, e in previzualizare pe Windows si macOS, limitata la cateva aplicatii, si nu exista deloc pe iOS. Mai cere si ca dispozitivul sa fie inregistrat in organizatie, ceea ce exclude din start calculatorul personal de acasa.

Concluzia onesta: e o masura buna acolo unde se aplica, dar nu e comutatorul care rezolva problema pentru o firma mica cu laptopuri personale si telefoane amestecate.

Ce se schimba concret, in ordinea efortului

Nu tot ce urmeaza cere buget. Primele doua sunt setari.

Scoate SMS-ul din metodele permise. E singura metoda din tabel care nu bifeaza nimic. Daca cineva din firma il mai foloseste, inlocuieste-l inainte de orice alta discutie.

Blocheaza fluxul cu cod de dispozitiv. E o metoda de autentificare gandita pentru ecrane fara tastatura, si e folosita in atacuri fiindca muta login-ul pe dispozitivul atacatorului. Microsoft recomanda explicit blocarea lui oriunde nu e nevoie de el.

Treci conturile importante pe passkey sau cheie fizica. Nu toata firma deodata. Incepe cu cine are acces la bani, la contracte si la administrarea sistemelor. Sunt conturile pentru care un atac chiar merita efortul.

Cere reautentificare pentru operatiunile sensibile. Daca o sesiune furata nu poate face plati sau schimba setari fara o verificare noua, paguba se opreste la citirea emailului.

Leaga accesul de dispozitive cunoscute. Aici intra Token Protection acolo unde se poate, si politici de acces conditionat in rest. E pasul care cere cel mai mult efort de administrare si ultimul pe care il faci.

Intrebarea de pus, nu raspunsul de dat

Nu ai nevoie sa intelegi mecanismul ca sa iei decizia. Ai nevoie de un raspuns la o intrebare simpla, pe care o poti pune celui care va administreaza sistemele azi: pe ce metode de autentificare stau conturile noastre, si cate dintre ele bifeaza coloana de rezistenta la phishing din tabelul Microsoft?

Daca raspunsul e “toata lumea are Authenticator”, stii deja in ce coloana esti. Nu e rau, e mai bine decat parola simpla, dar nu e ce credeai ca ai cumparat. Daca vrei sa vezi ce se poate schimba fara sa blochezi oamenii in prima zi, asa lucram partea de securitate, iar cand discutia depaseste autentificarea, intra in consultanta pe infrastructura.