什么时候才能结束优步在安全问题中的困境呢

一位骇客入侵了某位Uber雇员的工作通讯应用程序Slack，发布了如上信息。次日，根据多家外国媒体报道，这家国际网约车巨头证实其系统遭到了黑客攻击，但尚不清楚黑客访问了哪些内部数据。

根据安全研究员与这名少年的交谈中得知，他试图以优步员工的身份登录，但由于优步帐户受到多因素身份验证的保护，因此使用了 MFA 疲劳攻击并伪装成优步 IT 支持人员来说服员工接受 MFA 请求。MFA 疲劳攻击是指向目标发出重复的验证请求，直到受害者厌倦并接受。随后，他继续通过公司 VPN 登录到内部网络，并开始扫描公司的内部网络以获取敏感信息。期间，他发现了一个 PowerShell 脚本，其中包含公司 Thycotic 特权访问管理 (PAM) 平台的管理员凭证，该平台支持用于保存访问包括公司其他内部公共云服务的登录密码。

这起攻击事件很容易让人联想起这家巨头企业在2016年发生的另一起大规模数据泄露事件，涉及约5700万名乘客和司机的姓名、电话号码及电子邮件地址以及约60 万名美国司机的驾照信息。

目前的一种解决方法是使用符合FIDO2标准的防钓鱼物理安全密钥，它不再使用密码，而是由一个外部硬件设备来处理验证信息。此外，专家也建议MFA服务商出台一种机制，当短时间内收到大量验证请求时能够默认自动暂时锁定账户，以此来限制非法登录。此次调查结果显示，有73%的受访者认为应该加强网络安全意识，并表示愿意配合相关部门的工作。

（编辑：银川站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!