Pertahanan

Phishing-Resistant MFA

Autentikasi multifaktor yang terikat secara kriptografis pada origin situs web yang sah, seperti FIDO2 security key dan passkey, sehingga tidak dapat dipancing atau diteruskan sebagaimana kode SMS dan persetujuan push dapat dikalahkan.

Definisi

Phishing-resistant MFA merujuk pada metode autentikasi multifaktor, terutama FIDO2 security key dan passkey, di mana kredensial login terikat secara kriptografis pada origin situs web yang tepat saat pendaftaran, sehingga metode ini tidak dapat menghasilkan respons valid pada domain palsu atau tiruan. Ini membedakannya dari metode MFA yang lebih lemah seperti kode sekali pakai SMS atau persetujuan notifikasi push, yang dapat dicegat secara real-time oleh proxy adversary-in-the-middle atau disetujui oleh pengguna lelah yang menjadi target MFA fatigue.

Ketika pengguna mendaftarkan FIDO2 security key atau passkey ke sebuah situs web, perangkat menghasilkan pasangan kunci kriptografis unik dan mengikatnya ke domain situs tersebut secara tepat. Saat login, situs mengirim tantangan kriptografis yang hanya dapat dijawab oleh kunci privat yang benar, yang tidak pernah meninggalkan perangkat atau hardware pengguna, dan pengguna cukup mengonfirmasi dengan sidik jari, pemindaian wajah, atau PIN untuk mengotorisasi respons tersebut. Karena kredensial terikat pada domain asli, upaya login pada halaman phishing tiruan gagal total: browser memeriksa origin sebelum menawarkan respons, sehingga tidak ada kode untuk dibacakan, tidak ada rahasia bersama untuk diketik, dan tidak ada apa pun yang dapat ditangkap atau diteruskan situs palsu ke situs asli.

Ini penting karena penyerang telah beradaptasi khusus untuk mengalahkan MFA yang lebih lemah: kit phishing adversary-in-the-middle real-time memproxikan sesi login langsung dan menangkap baik kata sandi maupun kode sekali pakai persis saat dimasukkan, sementara serangan MFA fatigue cukup membanjiri permintaan persetujuan push hingga pengguna yang kelelahan mengetuk terima. Tidak satu pun teknik ini berhasil melawan phishing-resistant MFA, karena tidak ada kode untuk diteruskan dan tidak ada permintaan push untuk disetujui karena kebiasaan, hanya pertukaran kriptografis yang tidak dapat diikuti situs palsu. Bagi organisasi yang diatur di Indonesia, akun berhak istimewa, administrator, eksekutif, dan staf keuangan yang menyetujui pembayaran, adalah target bernilai paling tinggi bagi teknik bypass semacam ini, menjadikan phishing-resistant MFA sebagai kontrol prioritas, bukan sekadar pelengkap.

Penerapannya biasanya bertahap: organisasi memulai dengan akun paling sensitif dan berhak istimewa tinggi, memberikan panduan pencadangan dan pemulihan perangkat yang jelas agar kehilangan security key tidak mengunci seseorang keluar akun, dan memadukan penerapan ini dengan single sign-on bila memungkinkan sehingga lebih sedikit login terpisah yang perlu dilindungi satu per satu. Menghentikan MFA berbasis SMS sepenuhnya tidak selalu bisa langsung, karena beberapa sistem lama atau integrasi mitra mungkin belum mendukung FIDO2 atau passkey, tetapi setiap akun yang dipindahkan dari SMS dan push ke metode phishing-resistant secara berarti mempersempit jalur yang dapat dimanfaatkan penyerang.

Sekilas info

Jenis
Kontrol autentikasi
Juga dikenal sebagai
FIDO2 MFA, WebAuthn MFA

Cara kerjanya

  1. 1

    Pengikatan origin: saat pendaftaran, security key atau passkey mengikat kredensial secara kriptografis ke domain situs web yang tepat.

  2. 2

    Tantangan-respons: saat login, situs mengirim tantangan kriptografis yang hanya dapat dijawab oleh kunci privat yang benar.

  3. 3

    Penyimpanan kunci lokal: kunci privat tidak pernah meninggalkan perangkat pengguna atau hardware security key.

  4. 4

    Pembukaan kunci lokal: pengguna menyetujui respons dengan sidik jari, pemindaian wajah, atau PIN, mengonfirmasi keberadaan fisik.

  5. 5

    Pemeriksaan origin menghentikan phishing: jika upaya login terjadi di domain tiruan, ketidakcocokan origin berarti tidak ada respons valid yang dihasilkan sama sekali.

  6. 6

    Tidak ada rahasia yang bisa diteruskan: tidak seperti kode berbasis SMS atau aplikasi, tidak ada apa pun yang bisa dibacakan atau ditempel pengguna ke halaman palsu.

Poin utama

  • Kredensial terikat secara kriptografis pada origin situs yang sah, bukan hanya tampilannya
  • Kunci privat tidak pernah meninggalkan perangkat pengguna, sehingga tidak ada yang bisa dicuri penyerang dari jarak jauh
  • Tidak ada kode atau rahasia bersama untuk dipancing, diteruskan, atau dibacakan, tidak seperti kode SMS atau aplikasi autentikator
  • Tahan terhadap relay adversary-in-the-middle real-time maupun serangan pembanjiran push MFA fatigue
  • FIDO2 security key dan passkey adalah standar industri saat ini untuk autentikasi phishing-resistant
  • Akun berhak istimewa, administrator, eksekutif, dan staf keuangan, adalah target prioritas penerapan

Praktik terbaik

  • Prioritaskan akun berhak istimewa, administrator, eksekutif, IT, dan staf keuangan, untuk fase penerapan pertama
  • Tawarkan FIDO2 hardware security key sebagai cadangan bersama passkey yang terikat perangkat untuk fleksibilitas
  • Padukan penerapan dengan single sign-on sehingga lebih sedikit login individual yang perlu perlindungan terpisah
  • Tetapkan prosedur kehilangan dan pemulihan perangkat yang jelas sebelum mewajibkan phishing-resistant MFA secara luas
  • Bertahaplah dalam transisi dengan panduan karyawan agar alur login baru tidak menimbulkan hambatan dukungan
  • Hentikan kode sekali pakai SMS dan email untuk akun bernilai tinggi setelah opsi phishing-resistant diadopsi

Contoh nyata

Upaya login seorang administrator IT dicegat oleh proxy adversary-in-the-middle yang menghosting portal Microsoft 365 palsu. Dengan MFA berbasis SMS, penyerang menangkap dan meneruskan kode sekali pakai dalam hitungan detik, mendapatkan sesi yang terautentikasi penuh. Setelah organisasi memindahkan administrator yang sama ke FIDO2 security key, serangan yang identik gagal total: kunci memeriksa origin situs sebelum merespons, dan karena domain portal palsu tidak cocok, tidak ada tanda tangan valid yang dihasilkan, tidak peduli seberapa meyakinkan halaman tersebut terlihat.

Bagaimana Claro membantu

Simulasi phishing Claro mencakup skenario adversary-in-the-middle dan MFA fatigue yang mengungkap persis karyawan mana yang akan meneruskan kode sekali pakai ke halaman login palsu atau menyetujui permintaan push yang tidak diminta, memberi tim keamanan daftar berbasis risiko untuk memprioritaskan penerapan phishing-resistant MFA per akun dan departemen, bukan sekadar menebak di mana eksposur tertinggi berada.

Pertanyaan yang sering diajukan

Apa sebenarnya yang membuat metode MFA "phishing-resistant"?

Kredensial terikat secara kriptografis pada domain situs web yang sah saat penyiapan, sehingga tidak menghasilkan respons valid pada halaman phishing tiruan. Tidak ada juga kode atau rahasia bersama bagi pengguna untuk dibacakan atau diketik, tidak seperti kode SMS atau aplikasi autentikator.

Apakah passkey sama dengan phishing-resistant MFA?

Passkey adalah salah satu dari dua implementasi phishing-resistant MFA saat ini, bersama FIDO2 hardware security key. Keduanya dibangun di atas standar WebAuthn dan mekanisme pengikatan origin yang sama.

Bisakah MFA berbasis SMS atau push dibuat phishing-resistant?

Tidak dalam bentuknya saat ini. Kode SMS dapat dicegat atau diteruskan, dan persetujuan push dapat dibanjiri hingga pengguna menerima satu karena kelelahan. Hanya metode yang mengikat kredensial secara kriptografis pada origin situs, seperti FIDO2 dan passkey, yang menutup celah ini.

Dari mana organisasi sebaiknya mulai menerapkan phishing-resistant MFA?

Mulailah dengan akun yang akan menyebabkan kerusakan paling besar jika dibobol, administrator, eksekutif, dan staf keuangan yang menyetujui pembayaran, lalu perluas seiring bertambahnya dukungan perangkat dan keterbiasaan karyawan.

Istilah terkait

Passkey

Metode masuk tanpa kata sandi menggunakan pasangan kunci kriptografi, terikat pada perangkat dan pembuka kunci biometrik atau PIN, yang secara desain tahan terhadap phishing.

Autentikasi Multifaktor (MFA)

Metode keamanan yang mewajibkan dua atau lebih bukti identitas yang saling independen sebelum memberikan akses ke akun atau sistem.

MFA Fatigue

Serangan yang membanjiri korban dengan notifikasi push autentikasi multifaktor berulang kali hingga mereka menyetujui salah satunya karena frustrasi atau bingung.

Adversary-in-the-Middle (AiTM) Phishing

Teknik phishing real-time yang menggunakan server proxy untuk merelai proses login korban ke situs asli, mencuri session cookie dan melewati sebagian besar autentikasi multifaktor.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo