АПРЕЛЬ. MFA bypass: кража сессии, AiTM, device code, регистрация устройства и отзыв токенов

MFA сильно повышает стоимость атаки, но не делает аутентификацию одноразовой задачей. После успешного входа система выдаёт сессию или токен. Если атакующий получает этот артефакт, повторный запрос второго фактора может не понадобиться. Поэтому зрелый контроль отвечает не только на вопрос «есть ли MFA», но и на вопрос «что происходит после MFA».

  

Что именно нужно проверять

Возьмите один критичный облачный или корпоративный сервис. Посмотрите, какой MFA используется для администраторов, как регистрируются новые устройства, какой срок жизни сессии, как выполняется принудительный отзыв и есть ли legacy-методы аутентификации. Отдельно проверьте, может ли пользователь сам добавить новый фактор или устройство без дополнительного контроля.

 

Что увидел Talos в Q2 2026

Cisco Talos IR сообщила, что authentication abuse встречался в 65% расследований против 35% кварталом ранее. Среди методов были AiTM-прокси, кража session tokens, MFA fatigue, регистрация устройств атакующего и обход через устаревшие протоколы. В отдельных фишинговых кампаниях злоумышленники использовали доверенную инфраструктуру Microsoft 365 и SharePoint, что усложняло визуальное распознавание атаки пользователем. 

Конкретная кампания Talos была направлена преимущественно на организации Австралии. Общая статистика Talos остается глобальной.

 

Фишинг-устойчивость важнее количества факторов

Push и SMS лучше одного пароля, но они не одинаковы по устойчивости к фишингу. Для наиболее чувствительных учётных записей стоит оценить FIDO2/WebAuthn или другие phishing-resistant методы. При этом даже сильный фактор не отменяет мониторинг токенов, устройств и подозрительных сессий.

 

Проверка пройдена, если

Вы знаете, какие MFA-методы разрешены для привилегированных учётных записей, кто может регистрировать новые устройства, как быстро отозвать активные сессии и refresh tokens, какие условные политики ограничивают вход и какие legacy-механизмы ещё остаются.

 

Практический тест

Сымитируйте потерю доверенного ноутбука администратора. Команда должна уметь за несколько минут определить активные сессии, отозвать их, заблокировать или перевыпустить связанные секреты и убедиться, что устройство не остаётся доверенным. Такой тест полезнее формальной галочки «MFA включена».

 

Как это связано с решениями Смарт-Софт

Обход MFA — это тема identity и облачной аутентификации. NGFW не заменяет управление сессиями в Microsoft 365 или другом IdP. Поэтому в этом месяце мы не предлагаем продуктовое решение, а показываем, как выстроить процесс: от выбора phishing-resistant MFA для привилегированных учёток до процедуры принудительного отзыва сессий.

 

Что сделать сегодня

• Выбрать одну привилегированную облачную учётную запись.
• Проверить способ MFA, список устройств и процедуру revoke sessions.
• Убедиться, что legacy auth отключена или обоснована.

  

Источники

• Cisco Talos Incident Response. IR Trends Q2 2026. Authentication abuse 65%, AiTM, token theft, MFA fatigue, self-enrolled devices.

 
Последняя техническая проверка: 14.10.2026.