Die Filtration zeigt, dass die traditionelle MFA nicht mehr genug ist

Im Februar 2026 sprang der Alarm: ein Leck im Zusammenhang mit Figur - eine Finanzsektor-Entität - ergab fast eine Million E-Mail-Adressen. Diese Zählung, sie beeindruckt um ihre Größe, aber sie nur als eine Figur zu verstehen ist, auf der Oberfläche zu bleiben. Eine Sammlung von exponierten E-Mails ist nicht das Ende des Vorfalls, es ist das erste Inventar, dass Angreifer in Zugriffsvektoren transformieren.

Wenn ein massiver Satz von Richtungen in feindliche Hände eintritt, füttern diese Adressen sofort automatisierte Prozesse. Zuerst werden sie mit früheren Casual-Datenbanken kombiniert, um Credental-Stopfkampagnen zu starten: Paare von Post und wiederverwendeten Passwörtern werden auf einer Skala gegen Firmenportale, VPN-Passagen und Massennutzen-Identitätsanbieter getestet. Berichte und Sicherheitshinweise zur Credental-Stopfung und deren Auswirkungen zeigen, dass mit aktuellen und gut segmentierten Listen Erfolgsquoten innerhalb von Stunden Tausende gültige Kombinationen erzeugen können; die Industrie dokumentiert sie und erklärt sie im Detail in Ressourcen wie Imperva.

Parallel dazu ermöglicht die gleiche Liste gezielte und hoch personalisierte Phishing-Kampagnen. Künstliche Intelligenz beschleunigt die Generierung von E-Mails mit glaubwürdigen Glanz: Nachrichten, die wie interne Kommunikation aussehen, die Projekt- oder Abteilungsnamen erwähnen, und die die Ästhetik der legitimen Dienste replizieren. Mit einer E-Mail-Adresse und öffentlichen Daten wie professionelle Netzgebühren oder Profile kann ein Angreifer eine sehr überzeugende Sendung in wenigen Minuten erzeugen. Für diejenigen, die sich vertiefen wollen, wie Werkzeuge und Bedienkits diese Operationen erleichtern, sind technische Repositories und Analysen zu Echtzeit-Phishing-Proxies eine Referenz, beispielsweise in Open Source-Projekten Evilginx2 und In den Warenkorb.

Drittens, Post-Exposition ernährt Social Engineering-Angriffe, die auf den Support-Service abzielen: Anrufe oder Interaktionen, bei denen der Angreifer, mit grundlegenden Daten von OSINT, vorgibt, ein Mitarbeiter zu sein, um Passwort-Neustarts, MFA-Resets oder Konto-Entsperrungen anzufordern. Diese Technik greift direkt den menschlichen Prozess an, der vorhanden ist, um Authentifizierungsfehler zu korrigieren, und braucht keine technischen Sicherheitslücken in Systemen.

In all diesen Strömen musst du dir keine ausgeklügelte "Explosion" vorstellen; der Zweck des Angreifers ist es nicht, ein Loch in der Software auszunutzen, sondern als legitimer Benutzer einloggen. Und es gibt die Nuance, die in den Nachrichten oft verloren geht: das reale Risiko ist die Kette des Angriffs nach dem Leck, und die kritische Frage ist, ob die Authentifizierungssteuerung einer Organisation diese Kette irgendwann unterbrechen kann.

Leider ist die Antwort oft negativ. Ein Großteil der Branche hat auf MFA-Formulare - Push-Benachrichtigungen, SMS-Codes, TOTP -, die die Übertragung eines Codes oder den Besitz eines Geräts schützen, aber eine Person als letzte Entscheidungsverbindung. Diese menschliche Abhängigkeit ist genau das, was Echtzeit-Relaxationsmethoden angreift (auch AiTM, adversary-in-the-middle genannt). Bei einem solchen Angriff überträgt ein schädlicher Proxy die Handlungen zwischen dem Opfer und dem legitimen Dienst: Die Anmeldeinformationen werden auf einer verstopften Seite aufgenommen, der Proxy sendet sie an die reale Website, der Dienst erzeugt eine MFA Herausforderung, und das Opfer, das glaubt, dass er mit der legitimen Website interagiert, beendet den zweiten Faktor. Der Angreifer erhält somit eine authentifizierte Sitzung, obwohl er die Servicesoftware nicht "ausgefordert" hat.

Es ist wichtig zu verstehen, warum die häufigsten Formen von MFA diesen Angriff nicht stoppen. Mechanismen, die einen Code überprüfen oder eine Mitteilung bestätigen, unterscheiden nicht, ob der Austausch direkt zwischen Benutzer und Dienst stattgefunden hat, oder durch einen Vermittler, der die Transaktion in Echtzeit wiederüberträgt. Darüber hinaus gibt es das Phänomen, das als "MFA-Ermüdung" bekannt ist: wiederholte Anwendungen für die Genehmigung können müde oder verwirrte Benutzer führen, um verdächtige Benachrichtigungen zu akzeptieren. Microsoft und andere Sicherheitsteams haben über diese Muster und ihre Ausbeutung durch kriminelle Akteure dokumentiert und gewarnt; für diejenigen, die die institutionellen Analysen dieser Taktiken überprüfen möchten, sind große Lieferanten-Sicherheitsblogs und Notfall-Reaktionszentren nützliche Quellen, wie Microsoft Security und Berichte von unabhängigen Rundfunkanstalten wie KrebsÜberSicherheit.

Der übliche Ansatz der Branche - Schulung von Benutzern, Phishing und Erinnerungen zu erkennen, nicht unerwartete Anwendungen akzeptieren - ist nicht falsch, aber es ist kurz. Die Unzulänglichkeit ist von Architektur, nicht nur von Verhalten. Ein Relaisangriff hängt nicht von der Fähigkeit des Benutzers ab, eine geklonte Seite zu erkennen: die MFA-Benachrichtigung, die er empfängt, ist legitim, von der Dienstleistung ausgestellt, innerhalb der üblichen Anwendung. Es gibt keine offensichtlichen Hinweise für den Menschen, den Manöver zu erkennen.

Wenn die Frage, dass Auditoren, Regulatoren und Versicherer heute beantworten müssen, "kann Sie beweisen, dass die berechtigte Person physisch anwesend war und zum Zeitpunkt der Authentifizierung biometrisch überprüft wurde?" viele traditionelle Implementierungen bleiben unbeantwortet. Die Normen und Identitätsrichtlinien unterscheiden sich bereits zwischen dem Nachweis des Vorhandenseins eines Geräts und der Überprüfung des Individuums; der erste Fall garantiert nicht, dass die Person den Zugang betrieben hat. Das NIST-Dokument über digitale Authentifizierungsmuster und die Empfehlungen der FIDO Alliance erklären die Einschränkungen und Richtungen zu phishing-resistenten Authentifizierungsmechanismen; siehe zum Beispiel die NIST-Richtlinie in SP 800-63B und Materialien der FI. Allianz.

Welche Eigenschaften sollte eine Authentifizierung die Tür zu diesen Angriffen wirklich schließen? Sie können in drei technischen Anforderungen zusammengefasst werden, die koexistieren müssen: erstens eine kryptographische Verbindung zum Ursprung, die es für eine falsche Website unmöglich macht, eine Transaktion für eine andere Domain zu unterzeichnen; zweitens, private Schlüssel gebunden an Hardware sicher, dass sie nie diese Enklave verlassen, so dass sie nicht kopiert oder neu übertragen werden können; und drittens eine Echtzeit-biometrische Überprüfung, die die das Vorhandensein der autorisierten Person im Akt der Authentifizierung bestätigt. Kombiniert verhindern diese Garantien, dass ein Proxy aus einer anderen Herkunft gültige Signaturen erzeugt, eine Sitzung mit exfiltriertem kryptographischem Material wieder produziert oder dass ein Angreifer ohne die physische Präsenz des Halters den Prozess beendet.

FIDO2 / WebAuthn bietet einen wichtigen Fortschritt in Bezug auf Ursprungsbindung und Verwendung von Hardwareschlüsseln und wird daher in diesen Diskussionen oft zitiert. Standard-Implementierungen können jedoch kurz sein, wenn sie sich auf die Cloud-Synchronisation von Anmeldeinformationen oder auf Erholungsflüsse verlassen, die andere Schwachstellen erben. Aus diesem Grund fordern Experten nicht nur Schlüssel, die mit dem Gerät verbunden sind, sondern auch die Einarbeitung von "live" biometrischen Authentifizierungs- und Näherungssteuerungen und Hardware, die unsichere Wiederherstellungswege schließen. Die WebAuthn-Spezifikation der W3C und der FIDO-Dokumentation bietet den technischen Rahmen für das Verständnis dieser Unterschiede: W3C WebAuthen und die erläuternden Ressourcen FI. Allianz.

Der Markt hat bereits Produkte, die diesen umfassenden Ansatz behaupten: Hardware mit nicht exportierbaren Schlüsseln, obligatorische lokale Biometrie und Nähenprüfung. Diese Geräte versuchen, "menschliches Urteil" als Endpunkt der Entscheidung zu eliminieren: Wenn es zum Zeitpunkt und Ort der Authentifizierung keinen biometrischen Zufall gibt, wird nichts unterschrieben und kein Zugang gewährt. Es ist eine architektonische Antwort auf die Fragilität, die von den Relay-Kampagnen und den MFA-Kampagnen ausgenutzt wurde. Wie in jeder Sicherheitsmaßnahme sollten diese Lösungen für ihre Integrationsfähigkeit, ihre Auswirkungen auf die Privatsphäre und ihre Wiederherstellungsverfahren angesichts des Geräteverlustes bewertet werden; sie sind ein Stück von Minderung, aber sie führen die Architektur zu einem Identitätsmodell, das auf die individuelle Überprüfung und nicht nur den Token konzentriert ist.

Die Schlüsselstunde, die die Abbildungsfiltration hinterlässt - und die nächste, die zwangsläufig kommen wird - ist, dass Organisationen ihre Authentisierung aus der Sicht des Angreifers bewerten müssen, der bereits erste Daten hat: Benötigt das Authentisierungsmodell, das sie verwenden, den Benutzer unter Druck und manchmal ohne Warnsignale, um die richtige Entscheidung zu treffen, oder verhindert es technisch, dass eine fremde Einheit ohne die Anwesenheit und Überprüfung des Halters Zugriff erhält?

Ist die aktuelle Antwort die erste, sollte die Basis neu gestaltet werden. Der eigentliche Schutz vor Angriffen nach einem Massenleck ist, die Authentifizierungsarchitektur zu ändern, nicht nur Menschen besser zu trainieren.. NIST-Führer und FIDO-Initiativen sind Ausgangspunkte für das Verständnis des technischen Pfades; die Analyse der Credental-Stopfung, AiTM und MFA-Ermüdung zeigen, warum Veränderungen dringend sind. Beraten Sie technische Quellen und dokumentierte Fälle hilft, fundierte Entscheidungen zu treffen: die Materialien der NIST SP 800-63B Ressourcen der Vereinten Nationen FI. Allianz, Forschungs- und Analyseartikel in KrebsÜberSicherheit oder Berichte von Lieferanten wie Imperva und berücksichtigen Konzepttests, die sichere Hardware und Live-Biometrie für High-Risiko-Zugriffe enthalten.

Das Versandleck ist nur der erste Schritt in einer Kette. Eine wirksame Verteidigung erfordert das Denken über die Anzahl der exponierten Aufzeichnungen und Gebäudekontrollen, die es unmöglich machen, dass diese Aufzeichnungen gültige Zugriffe werden.