Дырка в заборе: 4 способа, которыми сотрудники обходят второй фактор
Включили обязательный 2FA и думаете, что периметр на замке? Показываем, как сотрудники находят обходные тропы через белые списки офисных IP, устаревшие протоколы и общие сервисные аккаунты, сводя всю защиту к нулю.
В отчёте для руководства всё красиво: *«Двухфакторная аутентификация внедрена для 100% сотрудников компании, риск компрометации снижен до минимума»*. Сисадмин получил премию, безопасники поставили галочку в чек-листе соответствия.
А в это время старший разработчик спокойно заходит во внутренние базы данных без всякого второго фактора. Бухгалтер делится доступом к 1С через сохранённую сессию. А ночной дежурный админ логинится под технической учёткой, где 2FA отключен «чтобы автоматика не падала».
Если вы думаете, что включение кнопки 2FA автоматически делает инфраструктуру неприступной крепостью, у нас для вас плохие новости. Пользователи и инженеры всегда найдут тропинку в обход КПП.
Вот четыре самые популярные дыры в заборе, через которые атакующие обходят второй фактор.
---
1. «Белый список» офисных IP-адресов
Классический компромисс между безопасностью и ленью:
> *«Зачем вводить код каждые 8 часов, если сотрудник сидит за рабочим столом в офисе? Давайте отключим второй фактор для нашей локальной подсети 192.168.1.0/24!»*
Звучит логично для бухгалтера, но является подарком для злоумышленника.
Что происходит на практике:
1. Злоумышленник ломает умную кофемашину, Wi-Fi роутер гостевой сети или забытый сетевой принтер, у которого нет пароля;
2. Закрепляется во внутренней подсети компании;
3. Теперь для системы авторизации он — «доверенный пользователь из офиса». Все запросы к корпоративным сервисам идут без второго фактора, достаточно просто знать утекший пароль.
Доверие по признаку IP-адреса умерло вместе с концепцией классического периметра.
---
2. Устаревшие протоколы (Legacy Protocols)
Вы закрыли веб-интерфейс почты красивой формой с TOTP-кодом. Отлично.
А что насчёт протоколов IMAP, POP3 и SMTP AUTH?
В половине компаний они остаются включёнными на почтовом сервере, потому что «у генерального директора старый клиент Outlook на домашнем Маке, который не поддерживает современную авторизацию».
Атакующий даже не пытается идти через браузер: он просто подключается к серверу по IMAP со спарсенным паролем. Никакой второй фактор при этом не запрашивается в принципе.
Аналогичная история происходит с базами данных и Git: веб-морду закрыли, а прямой порт к СУБД или доступ по SSH оставили с паролями пятилетней давности.
---
3. Бессмертные сессии («Запомнить меня на 90 дней»)
Кнопка «Не спрашивать на этом компьютере 30 дней» — это легальный способ отключить второй фактор на месяц.
Как это работает под капотом:
- Сервер выдаёт браузеру долгоживущую сессионную куку (Session Cookie);
- Пользователь ловит на свой ноутбук инфостилер (например, RedLine или LummaC2) через фишинговое письмо или пиратский плагин;
- Стилер выгребает базу кук из Chrome за 3 секунды и отправляет злоумышленнику;
- Хакер импортирует куку в свой антидетект-браузер и открывает внутренние сервисы компании.
Система авторизации даже не понимает, что произошёл взлом: для неё это «тот самый доверенный ноутбук», ведь валидная сессионная кука уже на месте.
---
4. Общие сервисные учётки «для скриптов»
В любой компании есть сервисные аккаунты: backup_user, gitlab_deploy, zabbix_reader.
Поскольку это автоматические скрипты, второй фактор на них повесить нельзя (или админам лень настраивать сервисные токены).
Что происходит дальше?
Разработчику Васе нужно срочно заглянуть в прод-базу, а телефон с 2FA разрядился. Вася берёт пароль от backup_user из открытого репозитория, логинится под ним напрямую и делает свои дела.
Через полгода под этой «технической» учёткой ходит половина отдела, а в логах аудита невозможно разобрать, кто именно удалил клиентскую таблицу — робот бэкапа или человек.
---
Как построить периметр без дыр: подход OwnGate
Безопасность работает только тогда, когда исключений не существует физически.
В шлюзе доступа OwnGate реализован честный принцип Zero Trust:
1. Никаких поблажек для офисных сетей. Вход с офисного стола точно так же валидируется вторым фактором, как вход из кофейни. Внутренняя сеть считается потенциально скомпрометированной по умолчанию.
2. Короткоживущие сессии. Никаких кук на 90 дней. Сессионные токены живут минуты, а их продление требует постоянной валидации статуса учётной записи в каталоге.
3. Единая точка входа для всех протоколов. Сервисы прячутся за шлюзом, прямое подключение мимо авторизации блокируется на сетевом уровне.
4. Разделение людей и автоматики. Сервисные интеграции работают исключительно через подписанные API-токены с узким скоупом прав, а интерактивный вход людей под сервисными учётками запрещён.
Настоящий второй фактор — это не галочка для галочки в отчёте, а непрерывный контроль контекста каждого подключения.