Microsoft премахва входа чрез SMS, заради AI хакерски атаки

Изпращането на кодове на потребителите чрез SMS отдавна е дискредитирано като най-несигурният метод за многофакторна автентификация и Microsoft скоро изцяло ще преустанови поддръжката на тази практика. Позовавайки се на нарастващата опасност от хакери, въоръжени с AI инструменти, компанията вече представи график за постепенното премахване на SMS кодовете.

От 1 февруари ИТ администраторите вече няма да могат да влизат в акаунтите си в Microsoft Entra ID, използвайки кодове за двуфакторна автентификация (2FA) чрез SMS. Крайният срок е част от по-широката промяна в политиката на Microsoft към преминаване към passkeys, широко считани за един от най-сигурните методи за влизане.

Администраторите наскоро започнаха да получават имейли от компанията, в които се описва премахването на SMS кодовете. По-рано тази година в документ за поддръжката също беше посочено, че Microsoft в крайна сметка ще престане да изпраща SMS кодове на обикновените потребители с Windows Home и Professional, но кога точно ще се случи това, все още не е ясно.

От години експертите по сигурност не препоръчват изпращането на кодове за двуфакторна автентификация (2FA) чрез SMS, предимно защото те лесно могат да бъдат прихванати. В същото време в неотдавнашното си съобщение Microsoft посочва, че AI е направил фишингът и другите хакерски методи по-ефективни.

Традиционните стратегии за фишинг имат по-голям шанс да подмамят потребителите да разкрият паролите и други чувствителни данни, когато се използват в съчетание с AI. Тази технология също така улеснява хакерите при извършването на атаки чрез подмяна на SIM-картите.

С най-новата актуализация на Windows 11 бяха премахнати и паролите с картинки. Въведени първоначално, за да популяризират сензорните възможности на Windows 8, жестовете по картинките за влизане в Windows отдавна не се считат за наистина сигурни.

Вместо това Microsoft насърчава използването на ПИН кодове, биометрични данни и ключове за достъп пред другите методи, особено относно паролите. Компанията вече приканва потребителите да изтрият паролите си и да използват ключове за достъп (passkey) като основен метод за вход. От 1 септември Entra ще подканва потребителите да създадат ключ за достъп.

Ключовете за достъп са по-лесни за настройка и употреба и ограничават удостоверяването до конкретни устройства, без да съхраняват критични данни на каквито и да било сървъри, като по този начин не оставят нищо, което хакерите да могат да откраднат. Въпреки това изследователи наскоро демонстрираха, че системи, компрометирани с зловреден софтуер, могат да изтеглят данните за ключовете за достъп, съхранени в паметта на Google Chrome.

Междувременно Google наскоро започна да тества друг метод за логване на потребителите, които забравят паролите си и нямат достъп до ключовете за достъп. След като предоставят на компанията видео със селфи, потребителите могат да влязат от всяко друго устройство, като качат друго такова, което се сравнява с оригиналното. Остава да се види дали методът е по-сигурен или по-малко сигурен от другите биометрични опции.