هکرها روشی برای دور زدن سیستم احراز هویت دو عاملی جیمیل پیدا کردند

از قابلیت احراز هویت دو عاملی همواره تحت عنوان یکی از گام های رو به جلو شرکت ها در تامین امنیت آنلاین یاد شده است. این قابلیت همچنین امکانی را برای کاربران جیمیل فراهم نموده تا با اطمینان خاطر به اکانت های خود لاگین نمایند و کمتر در مورد نفوذ هکرها به حساب های کاربری شان نگران باشند. با این حال اما احراز هویت دو مرحله در برابر رخنه های امنیتی هم مقاوم نیست و گزارش تازه ای که توسط دیدبان حقوق بشر منتشر شده نشان می دهد که چطور هکرها کدهای دو عاملی جیمیل را هدف حملات فیشینگ خود قرار داده اند.

احراز هویت در یک سیستم دو عاملی همانطور که از نامش پیداست دو گام دارد و در آن از کاربر خواسته می شود که علاوه بر پسورد یک کد اختصاصی را نیز وارد نماید. این کد نیز یا در همان زمان تولید می شود یا برای دستگاه موبایل کاربر ارسال می گردد.

با این روش چنانچه اطلاعات کاربران یک وبسایت نظیر پسوردهایشان به بیرون درز کند هکرها باز هم امکان دسترسی به اکانت هایشان را نخواهند داشت. اما چنانچه نادانسته، کد دو عاملی خود را دراختیار افراد یا سایت های مجرم قرار دهید این سیستم نیز شکست می خورد.

در گزارش دیدبان حقوق بشر اشاره شده هکرها شروع به استفاده از یک فرایند خودکار برای شکست این سیستم احراز هویت کرده اند؛ در این روش آنها نخست از طریق فیشینگ پسورد کاربر را با کمک یک وبسایت جعلی سرقت می کنند و بعد آن را به جیمیل می دهند. در ادامه پیام متنی دو عاملی برای کاربر ارسال می گردد و وبسایت جعلی از فرد درخواست ارائه کد مربوطه را می کند.

از آنجا که در برخی سیستم ها برای غیرفعال نمودن احراز هویت دو عاملی (با همه روش های احراز هویت دو عاملی آشنا شوید) نیازی به مجوز کاربر نیست هکرها میتوانند به راحتی وارد اکانت شما شوند. حتی بدون در اختیار گرفتن کنترل کامل یک اکانت هم هکرها میتوانند پسوردهای اختصاصی برای اپ بسازند؛ منظور پسوردهای ثانویه ایست که می توان از آنها برای دسترسی به اکانت های دو عاملی بدون نیاز به احراز هویت هرباره است.

در طول سال های 2017 و 2018 هکرها بالغ بر هزار اکانت متعلق به کاربران خاورمیانه (به ویژه امارات متحده عربی) و شمال آفریقا در گوگل و یاهو را هدف حملات هکی خود قرار دادند.

البته این خبر را نمی توان دال بر غیرامنیتی بودن همه سیستم های احراز هویت دو عاملی قلمدا کرد و همچنان استفاده از این روش برای لاگین به حساب های کاربری مختلف توصیه می شود با این حال نباید فراموش کرد که احراز هویت دو عاملی نیز خطرات مختص به خود را دارد.