Bij een e-maildienst in de cloud die multifactorauthenticatie gebruikt, werd een medewerker naar een aanmeldscherm gelokt dat precies op het echte leek, en voerde hij een wachtwoord en een eenmalig wachtwoord in. De aanvaller gebruikte dat scherm als doorgeefluik naar de echte dienst, stal het sessiecookie dat na de aanmelding werd uitgegeven en deed zich voor als de medewerker. Welke beschrijving van deze aanval en de tegenmaatregelen is het meest passend?

Antwoord: C. Een gestolen cookie vertegenwoordigt een toestand waarin de multifactorauthenticatie al is voltooid, dus de sessie meteen intrekken en authenticatie zoals passkeys, kortere sessies en detectie van ongebruikelijk gebruik combineren

Als de authenticatie slaagt, geeft de dienst een token uit zoals een sessiecookie, en daarna worden verzoeken alleen op grond van dat token als afkomstig van de gebruiker behandeld. Wordt het token gestolen via phishing met een doorgeefluik (AiTM) of door infostealer-malware op het eindpunt, dan kan de aanvaller zich daarom voordoen als de gebruiker in een toestand waarin de multifactorauthenticatie al is voltooid. Wordt de schade opgemerkt, dan moet niet alleen het wachtwoord worden gewijzigd, maar moeten ook de al uitgegeven sessies worden ingetrokken. Ter voorkoming worden phishingbestendige authenticatie die aan het domein van de verbinding is gebonden, zoals passkeys, kortere geldigheidsduren van sessies en herauthenticatie of gebruiksbeperkingen bij veranderingen van locatie of apparaat gecombineerd.