Post #183

Google Authenticator 如何使一家公司的网络漏洞变得更加严重 Retool公司披露了其客户支持系统遭到入侵的情况，攻击者通过谷歌身份验证器（Google Authenticator）的同步功能入侵了27个加密货币行业的客户账户。 攻击始于一名员工点击了一条短信中的链接，泄露了谷歌身份验证器中的密码和临时一次性密码。攻击者还通过电话获取了额外的多因素代码，并添加了自己的设备到员工的Okta账户中。 谷歌最近发布的谷歌身份验证器同步功能 ，可将 MFA 代码同步到云端。如 Hacker News 指出的那样 ，这是非常不安全的，因为如果你的 Google 帐户被泄露，那么你的 MFA 代码也会被泄露。 Retool指出，谷歌身份验证器的同步功能加剧了入侵的严重性，呼吁谷歌删除该功能或提供禁用选项。同时还强调FIDO2规范的多因素身份验证是安全的标准，而基于TOTP的身份验证容易受到网络钓鱼攻击。 参考：Retool；Ars Technica 来源：Ars Technica Via Daneel God 投稿：@ZaiHuaBot 频道：@TestFlightCN