MFA 會被駭嗎? 解析 8 種常見的 MFA 繞過手法

MFA 會被駭嗎?

多因素驗證 (MFA) 是多數團隊信賴的防護措施, 能避免密碼遭竊演變成資安事件。但攻擊者多年來一直在研究如何繞過它。那麼, MFA 會被駭嗎? 會。MFA 提高了攻擊成本, 但無法徹底消除攻擊風險。 

問題不在 MFA 的概念。多數部署仰賴的驗證因素, 攻擊者已學會透過攔截、轉送或社交工程手法繞過。SMS 驗證碼可能被轉送。推播通知可能遭到反覆轟炸。合法驗證完成後, 工作階段權杖仍可能遭竊。服務台人員也可能受騙而重設 MFA。Verizon 的 2025 年資料外洩調查報告 (DBIR) 指出, 可疑的登入模式是 憑證竊取與 MFA 繞過活動反覆出現的跡象。

2024 年 12 月, FBI 與美國網路安全暨基礎設施安全局 (CISA) 採取罕見措施, 建議組織與使用者停止採用以 SMS 為基礎的 MFA, 理由是針對美國電信基礎設施的 Salt Typhoon 間諜行動已出現相關攻擊。這份 CISA 行動裝置指南建議採用以 Fast Identity Online (FIDO) 為基礎的驗證, 認為這是最能有效抵禦繞過手法的 MFA 形式。

了解每種繞過手法的運作方式, 是建立可靠防線的第一步。

8 種常見的 MFA 繞過手法

以下每種手法都針對 MFA 部署中的不同弱點, 從人為失誤到通訊協定層級的缺陷。有些需要社交工程, 有些則完全不需人為介入。

1. MFA 提示轟炸 (推播疲勞)

攻擊者透過 網路釣魚或資料外洩取得有效憑證, 接著反覆觸發 MFA 推播通知, 直到使用者因不堪其擾而核准其中一次請求。根據 CISA AA23-320A, Scattered Spider「持續傳送 MFA 通知提示, 誘使員工接受提示, 進而存取目標網路。」 APT29也曾使用這種手法。

SOC 應留意的跡象: 短時間內對同一帳戶反覆發送 MFA 請求、從異常地點嘗試登入, 以及多次驗證失敗後突然出現核准。

2. 工作階段劫持與權杖竊取

這種手法鎖定驗證完成後的階段。攻擊者利用遠端存取基礎設施、VPN、網頁閘道或應用程式伺服器中的漏洞, 擷取有效的工作階段權杖。他們重用這些權杖建立已驗證的工作階段, 全程不會觸發 MFA 驗證要求。 LockBit 合作夥伴利用 CitrixBleed 漏洞示範了這種攻擊手法 (CVE-2023-4966), 從 Citrix NetScaler 設備擷取工作階段權杖, 徹底繞過 MFA。

若想了解帳戶劫持與濫用工作階段權杖之間的關聯, 我們的指南說明了其運作機制, 以及偵測這類活動的控制措施。

SOC 應留意的跡象: 工作階段來自地理位置上不可能出現的地點、同一使用者同時有多個工作階段, 以及略過預期 MFA 提示的驗證流程。

3. SIM 卡交換

攻擊者透過 社交工程或公開來源情報 (OSINT) 蒐集個人識別資訊 (PII), 再聯絡行動電信業者, 將受害者的電話號碼轉移至攻擊者控制的 SIM 卡。此後, 所有以 SMS 傳送的 MFA 驗證碼都會送達攻擊者。根據 CISA AA23-320A, Scattered Spider 有系統地運用 SIM 卡交換進行資料勒索。

您的 SOC 應留意的跡象: 行動通訊服務突然中斷, 或收到電信業者非預期的 SIM 卡停用通知、先前未註冊的裝置使用 SMS MFA 驗證碼, 以及 SIM 卡交換活動發生後立即出現帳戶存取。

4. 中間對手 (AiTM) 網路釣魚

攻擊者在您與合法驗證入口網站之間架設反向代理伺服器。您輸入憑證並完成 MFA 驗證。代理伺服器會擷取這兩者。攻擊者利用竊得的工作階段權杖直接登入。 

網路釣魚即服務平台推動了這種手法的商品化。現在的反向代理網路釣魚工具套件, 專門針對常見的雲端身分驗證流程發動 AiTM 攻擊。Mamba 2FA 等工具套件鎖定主要雲端身分平台, 並實作反機器人識別機制來規避安全掃描。

我們關於 中間對手攻擊的指南說明 AiTM 與傳統中間人攻擊有何不同, 以及如何在您的環境中找出相關跡象。

SOC 應留意的跡象: 驗證請求來自虛擬私人伺服器 (VPS) 或代理基礎設施、模仿登入入口網站的可疑網域註冊, 以及輸入憑證後不久便從不同 IP 存取帳戶。

5. 對服務台人員施以社交工程

根據 CISA AA23-320A，Scattered Spider 對 IT 支援人員發動多階段攻擊：先致電探查密碼重設程序，再冒充員工，說服服務台人員重設 MFA 權杖。自 2023 年初以來，這種手法已讓攻擊者取得「單一登入 (SSO) 帳戶和雲端應用程式套件」的存取權。由於驗證程序較不嚴格，委外服務台尤其容易遭到攻擊。

SOC 應留意：特權帳戶的 MFA 重設請求異常增多，尤其是在營業時間以外，以及與服務台互動後安裝遠端存取工具 (TeamViewer、AnyDesk) 的情況。

6. 利用 SS7 通訊協定

設計於 1970 年代的第 7 號信號系統 (SS7)，至今仍是全球行動通訊的骨幹。取得 SS7 網路存取權的攻擊者，可重新導向簡訊流量並即時攔截 MFA 驗證碼。濫用 SS7 無須部署惡意軟體，就能攔截驗證碼並進行詐欺，因此所有依賴簡訊 MFA 的組織都面臨實際風險。

在 Salt Typhoon 攻擊行動之後， SANS Institute 指引證實，CISA「直言：『不要使用簡訊作為第二項驗證因素。』」

7. 即時網路釣魚工具套件

EvilProxy、Evilginx、Sneaky2FA 和 WikiKit 等工具套件，是即時憑證與工作階段重放平台。它們擷取憑證和工作階段權杖，並在使用者或資安團隊發現異常前重放。重放速度極快，仰賴特徵碼的工具難以及時因應。

網路釣魚已演變成更大規模的攻擊威脅，核心是MFA 濫用、模組化工具和可重複使用的基礎架構。威脅研究人員持續記錄攻擊者如何將這些工作流程封裝，以供重複使用和散布。

8. OAuth 與同意授權網路釣魚

攻擊者先向 OAuth 提供者註冊惡意應用程式，再誘騙使用者授予權限。該應用程式取得具有使用者授權存取權的合法 OAuth 權杖，完全繞過 MFA。更新權杖機制讓攻擊者得以長期維持存取權，而且通常不受密碼重設影響。

接著，攻擊者操縱服務主體、建立惡意 OAuth 應用程式，並透過雲端 API 和協作平台竊取敏感資料。中國政府支持的組織 Silk Typhoon 曾利用這種手法，在客戶環境之間移動而未被察覺。

SOC 應留意：要求高權限的新 OAuth 應用程式註冊、身分識別日誌中未經 MFA 核發的 SAML 權杖，以及針對雲端 API 或協作平台的異常 API 呼叫模式。

這八種手法涵蓋社交工程、通訊協定利用，以及驗證後濫用。組織採用的 MFA 方法，決定了會暴露於其中多少種手法的風險之下。

哪些 MFA 方法最容易遭到繞過？

並非每種 MFA 方法都同樣容易受到上述八種手法攻擊。下表根據 CISA 抗網路釣魚指引和 FIDO Alliance 的分類，對照五種常見 MFA 實作方式及可將其繞過的攻擊類別。

模式很明確：每種仰賴共享密鑰或使用者核准提示的方法，至少會遭一種手法繞過。只有密碼學驗證能抵禦全部八種手法。

為何共享密鑰式 MFA 會失效

前四種方法都仰賴共享密鑰或使用者核准提示，而這些正是攻擊者可以攔截或轉送的資訊。FIDO2 金鑰採用完全不同的原理。私密金鑰絕不會離開您的裝置，每次驗證挑戰都會以密碼學方式綁定至真正的網域。由於網域不符，網路釣魚代理伺服器無法偽造有效簽章。根據 NIST 800-63-4，只有使用「非對稱金鑰密碼學程序」的驗證器，才符合最高保證等級的資格。

如果您目前使用簡訊或推播式 MFA，現在就能降低風險。先將高權限帳號改用 FIDO2 金鑰，再為一般使用者部署 Windows Hello 和 Apple Touch ID 等平台驗證器。這是分階段導入，不必全面汰換，也是實現 抗網路釣魚能力 且不影響日常工作的最務實途徑。

真實世界中的 MFA 繞過攻擊案例

上述技術並非紙上談兵。真實入侵事件顯示，攻擊者如何串連多種 MFA 繞過技術，發動多階段攻擊，往往在取得初始存取權後數小時內就能得逞。

1. MGM Resorts (2023). Scattered Spider 致電服務台冒充員工，說服人員重設 MFA 憑證，進而入侵 MGM 的環境。攻擊者利用 LinkedIn 找出 IT 人員，蒐集通過身分驗證所需的資訊。飯店營運、賭場系統與客戶資料均受影響，根據 MGM 向 SEC 提交的 8-K 文件。
2. Uber (2022)。攻擊者從暗網市集購買遭竊憑證，接著持續向一名 Uber 承包商發送大量 MFA 驗證請求。承包商為了停止通知而核准一則推播通知後，攻擊者在數小時內橫向移動至 Uber 的內部系統，包括 Slack、AWS 和 Google Workspace。 Uber 官方安全更新 證實，該承包商的憑證很可能是在其個人裝置感染惡意軟體後，於暗網上遭人購得。
3. Salt Typhoon (2024). 這個受中國政府支持的組織利用 SS7 通訊協定的弱點，攔截針對美國電信基礎設施的簡訊式 MFA 驗證碼。FBI 和 CISA 發布 聯合指引，針對與此攻擊活動相關的持續利用行為，建議組織停止使用簡訊式 MFA。
4. Storm-0558 (2023). Microsoft 揭露，與中國有關聯的威脅行為者 Storm-0558 使用取得的 Microsoft 簽署金鑰偽造驗證權杖，存取多個客戶組織的雲端電子郵件帳號。此攻擊在權杖層而非憑證層運作，繞過標準 MFA 控制，使最初的 MFA 驗證失去作用。

每起事件都利用了上述不同的技術。共同點是：攻擊者會依各組織 MFA 部署中最薄弱的環節調整手法。

MFA 繞過企圖的跡象

MFA 繞過會在身分紀錄、端點遙測資料和網路活動中留下痕跡。及早察覺這些訊號，就能在攻擊者站穩腳步前採取行動。

驗證異常：

• 在另一地區成功驗證後數分鐘內，從地理位置上不可能抵達的地點登入
• 單一使用者帳號同時有多個使用中的工作階段
• 驗證流程已完成，但身分紀錄中沒有對應的 MFA 驗證要求
• 在營業時間外，或從未列於已註冊裝置清單中的裝置核准 MFA 驗證要求

身分與存取模式：

• 高權限帳號的 MFA 重設請求突然激增
• 新註冊的 OAuth 應用程式要求高權限
• 身分提供者紀錄顯示核發的 SAML 權杖不含 MFA 驗證資訊
• 服務台工單要求繞過 MFA 或重設憑證，隨後立即有新裝置存取帳號

網路與端點訊號：

• 工作階段活動來自 VPS 基礎設施、匿名代理伺服器或 Tor 出口節點
• 提交憑證後不久，便從不同 IP 存取
• 橫向移動 在成功驗證後數分鐘內開始
• 聯繫服務台後不久，安裝了新的遠端存取工具

發生繞過企圖時，這些跡象很少單獨出現。將驗證事件與端點及網路訊號相互關聯，才能區分真正的繞過偵測與誤報。

如何防範 MFA 繞過攻擊

了解攻擊技術只是其中一半。好消息是，您剛讀到的每個缺口都能補上，而且補強方法已經十分明確。

• 以抗網路釣魚的 MFA 作為主要控制措施。根據 CISA 指引，只有 FIDO2/WebAuthn 和 PKI 式驗證符合抗網路釣魚的標準。簡訊驗證碼、定時型一次性密碼 (TOTP) 應用程式、電子郵件連結和推播通知，即使採用數字比對，也明確不在此列。CISA 指出，舊式 MFA 方法容易受到網路釣魚、SIM 卡交換、SS7 弱點及大量驗證請求轟炸攻擊。請先從權限最高的帳號開始部署：網域管理員、雲端管理員和資安團隊。
• 強制執行權杖繫結與工作階段生命週期控制。 NIST IR 8587 提供權杖生命週期指引：隔離身分提供者的簽署金鑰、依風險等級輪替金鑰，並依 NIST 保證等級設定工作階段逾時。對於高權限存取，應依較高的 NIST 保證要求限制工作階段長度與閒置時間。
• 實施條件式存取政策。 要求裝置符合安全要求，並使用 抗網路釣魚的 MFA 存取所有雲端應用程式。根據 Cloud Security Alliance (CSA) 指引, 每次決定是否授予存取權時，都應納入位置、裝置合規狀態、角色脈絡及 MFA 保證等級。
• 封鎖舊式驗證通訊協定。 CISA 具約束力的作業指令 (BOD) 25-01 規定必須封鎖舊式通訊協定，因為它們不支援 MFA。即使新式驗證流程強制使用高強度 MFA，任何舊式驗證流程仍是持續存在的繞過途徑。
• 強化服務台作業流程。 只要社交工程攻擊者說服服務台重設控制措施，技術防護便會失效。重設特權帳戶的 MFA 時，一律要求透過多個管道驗證身分。建立帶外回撥程序。訓練服務台人員辨識 Scattered Spider 使用的偵察模式。

即使徹底強化防護，仍會有人試圖繞過 MFA。關鍵在於您能多快發現並阻止這些行為。

雲端與身分識別環境中的 MFA 繞過攻擊

雲端改變了問題的樣貌，也帶來內部部署環境從未面臨的 MFA 繞過風險。

• 單一登入 (SSO) 串連。 一旦遭入侵的 SSO 工作階段取得數十個下游應用程式的存取權，單次成功繞過 MFA 的影響便會立即擴大。竊取 Okta 或 Microsoft Entra 工作階段權杖的攻擊者，無須在任何整合平台上再次通過 MFA 驗證，就能橫向存取所有連結的應用程式。
• 條件式存取缺口。 許多組織對主要雲端應用程式強制使用抗網路釣魚的 MFA，卻在舊式應用程式連接器、API 端點或服務主體設定中留下缺口。攻擊者會找出並利用這些缺口。 CISA BOD 25-01 規定必須封鎖舊式驗證通訊協定，正是因為它們會繞過條件式存取政策。
• 濫用服務主體與 OAuth。 雲端 身分識別環境 仰賴服務帳戶與 OAuth 權杖進行自動化和系統整合。這些機器身分通常不受 MFA 控制。攻擊者入侵服務主體，透過 OAuth 同意畫面網路釣魚取得更高權限，並利用這些權限，即使初始存取憑證已輪替，仍能持續潛伏於環境中。
• 聯合身分識別與 SAML 操縱。 身分識別提供者與雲端平台之間的聯合驗證，產生了額外的攻擊面。如 Storm-0558 在 2023 年所示範，攻擊者一旦取得簽署金鑰，就能偽造 SAML 宣告，無須經過任何 MFA 驗證即可存取雲端資源。

保護雲端身分識別，必須將用於真人使用者的抗網路釣魚 MFA 控制措施，同樣套用至服務帳戶和 OAuth 流程。機器身分是雲端環境中成長最快的攻擊面，卻也是最常被排除在 MFA 防護範圍之外的一環。

SentinelOne 如何偵測 MFA 繞過攻擊

MFA 繞過攻擊發生在驗證與存取之間。只監控身分識別提供者，會留下攻擊者可利用的缺口。SentinelOne 的 SingularityTM Platform 將驗證事件與整個環境中的端點行為、網路活動及使用者操作相互關聯，補上這些缺口。

Singularity Identity 將防護延伸至您的 身分識別基礎架構。它能偵測針對 Active Directory 及雲端身分識別提供者（例如 Entra ID、Ping、Okta、Duo 和 SecureAuth）正在進行的攻擊，涵蓋內部部署與雲端環境，並即時做出回應。Behavioral AI 會標記不可能的移動模式、憑證濫用，以及與權杖操縱相關的權限提升。當身分識別活動顯示工作階段遭濫用時，平台就會採取行動：終止惡意程序、結束遭入侵的工作階段，並隔離受影響的端點。

Singularity Identity 也會持續掃描強度不足、已暴露及遭入侵的憑證，透過自主應對，在憑證攻擊進入您的環境前加以阻止。

預約 SentinelOne 示範，了解如何在整個環境中發現並阻止 MFA 繞過攻擊。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點摘要

MFA 仍不可或缺，但並非無法攻破。從大量推送驗證請求到 OAuth 同意畫面網路釣魚，八種不同的繞過技術都在利用舊式 MFA 的弱點。前進方向很明確：升級為專門應對這類威脅的策略。 

將抗網路釣魚的 MFA (FIDO2/WebAuthn) 與即時偵測驗證後異常行為的行為監控結合，就能讓 MFA 不再是弱點，而是真正的優勢。