A közelmúltban egy kritikus biztonsági rés, az úgynevezett jelszó-visszaállító hivatkozás mérgezés (Password Reset Link Poisoning) került a figyelem középpontjába. Ez a sebezhetőség lehetővé teszi támadók számára a felhasználói fiókok teljes átvételét, és komoly veszélyt jelent mind a felhasználók, mind a szervezetek számára.

A sérülékenység működése – Host Header Injection

A SecurityScorecard szakértői egy több mint 130 000 eszközből álló botnetet azonosítottak, amely jelszószóró támadásokat (password spraying) hajt végre Microsoft 365 (M365) fiókok ellen, kihasználva az alaphitelesítés (Basic Authentication) gyengeségeit. A támadás megkerüli a többfaktoros hitelesítést (MFA), mivel a nem interaktív bejelentkezési folyamatokat használja, amelyeket sok szervezet nem monitoroz megfelelően.

Az Ír Adatvédelmi Bizottság (DPC) 91 millió eurós (100 millió dolláros) bírságot szabott ki a Meta Platforms Ireland Limited (MPIL) számára, mivel több száz millió felhasználó jelszavait titkosítás nélkül, úgynevezett kódolatlan, sima szöveges „plaintext” formátumban tárolták. Az eset 2019-ben történt, amikor a Meta nyilvánosan bejelentette a történteket és értesítette a DPC-t, amely vizsgálatot indított a techóriás felhasználói adatkezelési gyakorlatáról.

Azok a felhasználók, akik a Google Authenticator alkalmazást használják a kétlépcsős azonosításhoz, mostantól szinkronizálhatják a generált egy alkalomra szóló két tényezős hitelesítő kódokat a Google fiókjaikkal. Az egy alkalomra szóló Authenticator kódokat (OTP - One Time Password) korábban helyileg tárolták, egyetlen eszközön, így az eszköz elvesztése gyakran azt jelentette, hogy a 2FA-hoz használt szolgáltatásokhoz való bejelentkezési képesség is elveszik.