Microsoft вслед за Google прокачивает своё приложение Authenticator

[Artifact]

Инновациями не пахнет, но для укрепления безопасности вполне сойдёт.
Вслед за недавним обновлением Google Authenticator, повышающим удобство и комфорт использования приложения, прокачать своё фирменное приложение для аутентификации решила и Microsoft, но только с целью повышения безопасности.
Компания внедрила новую функцию в своё фирменное приложение Microsoft Authenticator, которая поможет противостоять атакам на многопользовательскую аутентификацию (MFA).
Подобные атаки, также известные как «Push Bombing» или «MFA Push Spam», заключаются в том, что злоумышленники посылают потенциальным жертвам множество уведомлений на смартфон с просьбой подтвердить попытки входа в их аккаунты с помощью украденных данных.
Во многих случаях жертвы сдаются под давлением постоянных уведомлений и одобряют злонамеренные запросы. Подтверждение может произойти как случайно, так и чтобы остановить назойливые оповещения. Конечным результатом становится получение хакером доступа к учётной записи жертвы.
Этот тип социальной инженерии ранее успешно использовали киберпреступные группировки Lapsus$ и Yanluowang, которые с его помощью проникли в такие известные организации, как Microsoft, Cisco и Uber.
Microsoft решила бороться с данным методом мошенничества и начала применять функцию сопоставления чисел для уведомлений MFA в приложении Microsoft Authenticator.
«Сопоставление чисел — это ключевое улучшение безопасности традиционных двухфакторных уведомлений в Microsoft Authenticator. Мы сбросим все административные настройки и будем по умолчанию применять сопоставление чисел для всех пользователей Microsoft Authenticator с 8 мая 2023 года», — говорит Microsoft.

Демонстрация функции «Сопоставление чисел»
К слову, подобный подход с сопоставлением чисел уже не первый год использует компания Google, предлагая выбрать на своём основном устройстве одно из трёх чисел, совпадающее с приведённым на экране нового устройства. Однако решение Microsoft с ручным вводом числа выглядит хоть и менее удобным, но полностью решает проблему атак методом «Push Bombing». Ведь ни случайно, ни намеренно — жертва такой атаки уже не сможет выдать злоумышленнику желаемый доступ.