多因素认证(MFA)作为一种重要的安全防护措施，其主要通过要求用户提供密码之外的额外验证来保护账户安全，如指纹、面部识别或数字钥匙。然而，近期一类名为“中间人攻击”的技术让MFA防护显得脆弱不堪。据报道，一个由钓鱼攻击组成的完整产业链已经形成，帮助犯罪分子轻松绕过这些常见的MFA形式，普通用户也能迅速创建虚假网站以攻破账户保护措施。
这些工具提供了钓鱼即服务的工具包，在网络犯罪论坛上以Tycoon 2FA、Rockstar 2FA、Evilproxy等名称出售。这些产品提供了设置代理服务器所需的所有代码，坐落在受害者与目标网站之间。攻击从发送诱骗信息开始，通常谎称账户已被泄露，需立即锁定。
问题在于这些MFA形式的验证码本身同样容易被钓鱼，因为它们只是数字或偶尔包含其他字符，与密码一样容易被攻击者复制并输入网站。这些中间人攻击日益增多，仅在2022年，一组攻击就窃取了超过10,000个凭证。来源