Een knop is pas veilig als u weet bij welke actie hij hoort
Hoe een gebruiker de laatste knop van een aanval wordt
MFA en itsme zijn sterke beveiliging, maar ze werken alleen goed als u weet welke actie u bevestigt. Soms start iemand anders de login, betaling of reset, en wordt u alleen nog gevraagd om de laatste klik te zetten.
De mens als tussenschakel
De aanvaller start de actie, maar het slachtoffer bevestigt de laatste stap.
Scène
De mens als tussenschakel
De aanvaller start de actie, maar het slachtoffer bevestigt de laatste stap.
Uw telefoon zoemt: ‘Aanmelding goedkeuren?’ U bent nergens aan het inloggen. Daarna belt iemand: ‘Druk op akkoord om te annuleren.’ De zin klinkt geruststellend, maar akkoord blijft akkoord. U zit op de sofa. Uw telefoon zoemt. ‘Aanmelding goedkeuren?’ U bent niet aan het inloggen. Nog een melding. En nog een. Het voelt als een mug in de kamer: weg ermee.
Eerst de scène
U zit op de sofa. Uw telefoon zoemt. ‘Aanmelding goedkeuren?’ U bent niet aan het inloggen. Nog een melding. En nog een. Het voelt als een mug in de kamer: weg ermee.
Maar een MFA-melding is geen mug. Het kan de voordeur zijn. Als u zelf niets begon, is de vraag niet hoe u de melding weg krijgt. De vraag is wie probeert binnen te raken.
Wat probeert iemand te bereiken?
De aanvaller wil dat u de technische controle omzet in menselijke routine. Hij start iets. U bevestigt. Daarna lijkt het alsof alles netjes via de gewone beveiliging liep.
Daarom worden woorden als ‘annuleren’ of ‘beveiligen’ zo vaak misbruikt. Ze laten een echte goedkeuring voelen als een beschermende stap.
Belangrijkste inzichten
3Eerst de scène
U zit op de sofa. Uw telefoon zoemt. ‘Aanmelding goedkeuren?’ U bent niet aan het inloggen. Nog een melding. En nog een. Het voelt als een mug in de kamer: weg ermee.
Wat probeert iemand te bereiken?
De aanvaller wil dat u de technische controle omzet in menselijke routine. Hij start iets. U bevestigt. Daarna lijkt het alsof alles netjes via de gewone beveiliging liep.
Moeilijke woorden zonder mist
MFA betekent multi-factor authentication: extra controle naast uw wachtwoord. Een OTP is een one-time password, een eenmalige code. Een MFA-code is zo’n extra code of bevestiging.
Reflex
Kijk naar wat de stap mogelijk maakt
Bevestig alleen acties die u zelf net startte.