MFA 會被駭嗎？8 種常見 MFA 繞過技術解析

MFA 會被駭嗎？

多重要素驗證（MFA）是大多數團隊信賴的控制措施，用來防止遭竊密碼演變成資料外洩。而攻擊者多年來一直在學習如何繞過它。所以，MFA 會被駭嗎？會。MFA 會提高攻擊成本，但無法完全消除攻擊。 

問題不在於 MFA 的概念本身。大多數部署依賴的要素，攻擊者早已學會如何攔截、重新導向，或透過社交工程加以繞過。SMS 驗證碼可能被重新路由。推播通知可能被大量濫發。工作階段權杖可能在合法驗證完成後遭竊。服務台人員可能被誘騙而直接重設 MFA。Verizon 的 2025 年資料外洩調查報告（DBIR）發現，可疑的登入模式是一再出現的跡象，顯示 憑證竊取 與 MFA 繞過活動。

2024 年 12 月，FBI 與網路安全暨基礎設施安全局（CISA）罕見地建議組織與使用者不要再使用以 SMS 為基礎的 MFA，理由是與 Salt Typhoon 間諜活動相關的主動式利用行為，該活動鎖定美國電信基礎設施。該 CISA 行動裝置指引 建議採用以 Fast Identity Online（FIDO）為基礎的驗證，作為最能有效抵禦繞過技術的 MFA 形式。

了解每一種繞過技術的運作方式，是建立有效防禦的第一步。

8 種常見 MFA 繞過技術

以下每種技術都針對 MFA 部署中的不同弱點，從人為錯誤到通訊協定層級的缺陷。有些需要社交工程。其他則完全不需要任何人為介入即可運作。

1. MFA 提示轟炸（push fatigue）

攻擊者透過 網路釣魚 或資料外洩取得有效憑證，接著反覆觸發 MFA 推播通知，直到使用者因挫折而批准其中一次。根據 CISA AA23-320A，Scattered Spider「持續傳送 MFA 通知提示，誘使員工接受提示，進而取得目標網路的存取權。」 APT29 也曾使用這項技術。

您的 SOC 應留意：短時間內對單一帳戶重複發出 MFA 要求、來自異常地點的登入嘗試，以及一連串驗證失敗後突然出現核准。

2. 工作階段劫持與權杖竊取

這項技術鎖定的是驗證之後發生的事情。攻擊者利用遠端存取基礎設施、VPN、Web 閘道或應用程式伺服器中的弱點，擷取有效的工作階段權杖。他們重放這些權杖，以建立已通過驗證的工作階段，而完全不會觸發 MFA 挑戰。 LockBit affiliates 透過 CitrixBleed 弱點展示了這一點 (CVE-2023-4966)，從 Citrix NetScaler 設備擷取工作階段權杖，藉此完全繞過 MFA。

若要了解帳戶劫持與工作階段權杖濫用之間的關聯，我們的指南 說明了其運作機制，以及可加以攔截的偵測控制措施。

您的 SOC 應留意：來自地理位置上不可能地點的工作階段、單一使用者的多個並行工作階段，以及略過預期 MFA 提示的驗證流程。

3. SIM 交換

攻擊者透過 社交工程 或開源情報（OSINT）蒐集個人可識別資訊（PII），接著聯絡行動電信業者，將受害者的電話號碼轉移到由攻擊者控制的 SIM 卡。所有以 SMS 為基礎的 MFA 驗證碼現在都會傳送給攻擊者。根據 CISA AA23-320A，Scattered Spider 系統性地將 SIM 交換 用於資料勒索行動的一部分。

您的 SOC 應留意：行動服務突然中斷，或來自行動電信業者的非預期 SIM 停用訊息、從與先前註冊不同的裝置使用 SMS MFA 驗證碼，以及在 SIM 交換活動後立即發生的帳戶存取。

4. 對手中間人（AiTM）網路釣魚

攻擊者在您與合法驗證入口網站之間部署反向代理伺服器。您輸入憑證並完成 MFA 挑戰。代理會擷取兩者。攻擊者利用遭竊的工作階段權杖直接登入。 

Phishing-as-a-Service 平台已協助將這項技術商品化。反向代理網路釣魚工具套件如今專門針對常見的雲端身分識別工作流程發動 AiTM 攻擊。像 Mamba 2FA 這類工具套件會鎖定主要雲端身分識別平台，並實作反機器人識別以規避安全掃描。

我們關於 對手中間人攻擊 的指南說明了 AiTM 與傳統中間人技術有何不同，以及如何在您的環境中找出相關指標。

您的 SOC 應留意：源自虛擬私人伺服器 (VPS) 或代理基礎設施的驗證要求、模仿您登入入口網站的可疑網域註冊，以及輸入憑證後不久即從不同 IP 發生存取。

5. 服務台的社交工程

根據 CISA AA23-320A，Scattered Spider 對 IT 支援執行多階段攻擊：先進行偵察電話以了解密碼重設程序，接著冒充員工說服服務台人員重設 MFA 權杖。自 2023 年初以來，此技術已取得對「單一登入（SSO）帳戶和雲端式應用程式套件」的存取權。由於驗證較不嚴格，簽約或外包的服務台特別容易受害。

在您的 SOC 中應注意的事項：特權帳戶的 MFA 重設請求量異常，尤其是在非營業時間，以及在與服務台互動後安裝遠端存取工具（TeamViewer、AnyDesk）。

6. SS7 協定利用

Signaling System 7 於 1970 年代設計，至今仍是全球行動通訊的骨幹。取得 SS7 網路存取權的攻擊者可以重新導向 SMS 流量，並即時攔截 MFA 驗證碼。濫用 SS7 可攔截驗證碼並促成詐欺，而無需部署 malware，使其成為任何依賴 SMS 型 MFA 的組織都必須面對的實際風險。

在 Salt Typhoon 活動之後， SANS Institute guidance 證實 CISA「直言：『不要使用 SMS 作為第二驗證因子。』」

7. 即時網路釣魚工具包

EvilProxy、Evilginx、Sneaky2FA 和 WikiKit 等工具包可作為即時憑證與工作階段重放平台運作。它們會擷取憑證和工作階段權杖，然後在使用者或安全團隊發現異常之前加以重放。快速的重放時間窗形成一場競賽，使基於特徵碼的工具難以跟上。

網路釣魚已演變為更大的作業威脅，其核心圍繞著 MFA 濫用、模組化工具，以及可重複使用的基礎設施。威脅研究人員持續記錄攻擊者如何將這些工作流程打包，以供重複使用與散布。

8. OAuth 與同意式網路釣魚

攻擊者向 OAuth 提供者註冊惡意應用程式，然後誘騙使用者授予其權限。該應用程式會取得具有使用者授權存取權的合法 OAuth 權杖，從而完全繞過 MFA。重新整理權杖機制可實現長期持續存取，而且通常在密碼重設後仍然有效。

接著，攻擊者會操控服務主體、建立惡意 OAuth 應用程式，並透過雲端 API 與協作平台外洩敏感資料。中國國家支持組織 Silk Typhoon 曾利用此技術在客戶環境之間橫向移動而不被察覺。

在您的 SOC 中應注意的事項：要求高權限的新 OAuth 應用程式註冊、身分識別記錄中未經 MFA 即簽發的 SAML 權杖，以及對雲端 API 或協作平台的異常 API 呼叫模式。

這八種技術涵蓋社交工程、協定利用，以及驗證後濫用。您部署的 MFA 方法決定了您的組織會暴露於其中多少種風險。

哪些 MFA 方法最容易被繞過？

並非每種 MFA 方法都同樣暴露於上述八種技術。下表根據 CISA phishing-resistant guidance 與 FIDO Alliance 的分類，將五種常見的 MFA 實作對應到可擊敗它們的繞過類別。

模式很明確：每一種建立在共享祕密或使用者核准提示上的方法，都會被至少一種繞過技術擊破。只有密碼學式驗證能通過完整清單的考驗。

為何共享祕密型 MFA 會失敗

前四種方法都依賴共享祕密或使用者核准提示，而這正是攻擊者可以攔截或轉送的內容。FIDO2 金鑰則完全基於不同原理。私密金鑰永遠不會離開您的裝置，而且每一次驗證挑戰都會以密碼學方式綁定至真實網域。網路釣魚代理無法偽造有效簽章，因為網域永遠不會相符。根據 NIST 800-63-4，只有使用「非對稱金鑰密碼學程序」的驗證器才符合最高保證等級。

如果您目前使用 SMS 或推播式 MFA，您可以立即降低風險。先將特權帳戶移轉至 FIDO2 金鑰，接著為一般使用者提供平台驗證器，例如 Windows Hello 和 Apple Touch ID。這是分階段推行，而不是全面汰換，且是實現 抗網路釣魚 的最實用途徑，同時不會打亂任何一個工作日。

真實世界的 MFA 繞過攻擊範例

上述技術並非理論推演。真實世界中的入侵事件顯示，攻擊者會將 MFA 繞過技術串連成多階段攻擊，而且通常在取得初始存取權後數小時內就會發生。

1. MGM Resorts (2023)。 Scattered Spider 透過致電服務台、冒充員工，並說服人員重設 MFA 憑證，進而入侵 MGM 的環境。該攻擊利用 LinkedIn 識別 IT 人員並蒐集通過驗證檢查所需的細節。影響擴及飯店營運、賭場系統與客戶資料，據報導損失超過 1 億美元，根據 MGM 的 SEC 8-K 文件。
2. Uber (2022)。攻擊者從暗網市集購買遭竊憑證，接著對一名 Uber 承包商發動持續性的 MFA 提示轟炸攻勢。在該承包商為了停止警示而核准一則推播通知後，攻擊者在數小時內橫向移動至 Uber 的內部系統，包括 Slack、AWS 和 Google Workspace。 Uber 的官方安全更新 證實，該承包商的憑證很可能是在其個人裝置感染惡意軟體後，於暗網上遭到購買。
3. Salt Typhoon (2024)。 該中國國家支持的組織利用 SS7 通訊協定弱點攔截以美國電信基礎設施為目標的 SMS 式 MFA 驗證碼。FBI 與 CISA 發布了 聯合指引，建議組織停止使用 SMS 式 MFA，以直接回應與此活動相關的主動式利用行為。
4. Storm-0558 (2023)。 Microsoft 揭露，與中國有關聯的威脅行為者 Storm-0558 使用取得的 Microsoft 簽署金鑰偽造驗證權杖，以存取多個客戶組織的雲端電子郵件帳戶。該攻擊是在權杖層而非憑證層運作，因此繞過了標準 MFA 控制，使初始 MFA 挑戰失去意義。

每起事件都利用了上述清單中的不同技術。一條一致的主線是：攻擊者會根據各組織 MFA 部署中最薄弱的環節調整其手法。

MFA 繞過嘗試的指標

MFA 繞過會在身分識別記錄、端點遙測和網路活動中留下痕跡。及早捕捉這些訊號，您就能在攻擊者站穩腳步之前做出回應。

驗證異常：

• 在另一個地區成功完成驗證後數分鐘內，從不可能的位置發生登入
• 單一使用者帳戶同時存在多個有效工作階段
• 在身分識別記錄中，驗證流程完成時沒有對應的 MFA 挑戰
• 在非營業時間核准的 MFA 挑戰，或來自未列於已註冊裝置清單中的裝置

身分與存取模式：

• 特權帳戶的 MFA 重設要求突然激增
• 新的 OAuth 應用程式註冊要求高權限權限
• 在身分提供者記錄中，簽發的 SAML 權杖不含 MFA 內容
• 服務台工單要求 MFA 繞過或憑證重設，隨後立即從新裝置存取帳戶

網路與端點訊號：

• 源自 VPS 基礎設施、匿名代理或 Tor 出口節點的工作階段活動
• 提交憑證與後續從不同 IP 存取之間的時間間隔很短
• 橫向移動 在成功驗證事件後數分鐘內開始
• 在聯絡服務台後不久安裝新的遠端存取工具

在繞過嘗試期間，這些指標很少會單獨出現。將驗證事件與端點及網路訊號進行關聯分析，才是區分真正的繞過偵測與誤判的關鍵。

如何防止 MFA 繞過攻擊

了解這些技術只是其中一半。令人振奮的是：您剛剛讀到的每一個缺口都可以補上，而且補強這些缺口的方法已相當明確。

• 將抗網路釣魚的 MFA 部署為您的主要控制措施。根據 CISA 指引，只有 FIDO2/WebAuthn 和以 PKI 為基礎的驗證才符合抗網路釣魚的資格。SMS 驗證碼、時間型一次性密碼 (TOTP) 應用程式、電子郵件連結和推播通知，即使搭配數字比對，也被明確排除。CISA 表示，傳統 MFA 方法容易受到網路釣魚、SIM 交換、SS7 問題和提示轟炸影響。請從最高權限帳戶開始部署：網域管理員、雲端管理員和安全團隊。
• 強制執行權杖繫結與工作階段生命週期控制。 NIST IR 8587 提供權杖生命週期指引：隔離身分提供者簽署金鑰、根據風險等級輪替金鑰，並強制執行與 NIST 保證等級一致的工作階段逾時設定。對於特權存取，請依照較高的 NIST 保證要求限制工作階段與閒置時間視窗。
• 實作條件式存取原則。 要求合規的裝置狀態與 具抗網路釣魚能力的 MFA 用於所有雲端應用程式存取。依據 Cloud Security Alliance (CSA) 指引，將位置、裝置合規性、角色情境與 MFA 保證等級納入每一次存取決策。
• 封鎖舊版驗證通訊協定。 CISA Binding Operational Directive (BOD) 25-01 要求封鎖舊版通訊協定，因為它們無法支援 MFA。任何舊版驗證流程都代表持續存在的繞過路徑，即使現代流程已強制執行強式 MFA 亦然。
• 強化服務台流程。 當社交工程攻擊者說服您的服務台為其重設時，技術控制就會失效。對特權帳戶的所有 MFA 重設都要求多通道身分驗證。實作帶外回撥程序。訓練服務台人員辨識 Scattered Spider 使用的偵察模式。

即使進行了強化防護，MFA 繞過嘗試仍然會發生。問題在於，當這些情況發生時，您能多快發現並阻止它們。

雲端與身分環境中的 MFA 繞過

雲端改變了問題的型態。它引入了內部部署設定從未需要面對的 MFA 繞過風險。

• 單一登入 (SSO) 鏈結。 當遭入侵的 SSO 工作階段授予對數十個下游應用程式的存取權時，一次成功的 MFA 繞過就會立即擴大影響。竊取 Okta 或 Microsoft Entra 工作階段權杖的攻擊者，可以在整個已連線的應用程式組合中橫向移動，而不會在任何整合平台上觸發額外的 MFA 挑戰。
• 條件式存取缺口。 許多組織對主要雲端應用程式強制執行具抗網路釣魚能力的 MFA，卻在舊版應用程式連接器、API 端點或服務主體設定中留下缺口。攻擊者會識別並利用這些缺口。 CISA BOD 25-01 明確要求封鎖舊版驗證通訊協定，因為它們會繞過條件式存取原則。
• 服務主體與 OAuth 濫用。 雲端 身分環境 依賴服務帳戶與 OAuth 權杖來進行自動化與整合。這些機器身分通常在沒有 MFA 控制的情況下運作。攻擊者會入侵服務主體，透過 OAuth 同意網路釣魚授予其更高權限，並利用這些權限在初始存取憑證輪替後仍長期存在於環境中。
• 同盟身分與 SAML 操作。 身分提供者與雲端平台之間的同盟驗證會建立額外的 攻擊面。如同 Storm-0558 在 2023 年所展示的，若攻擊者入侵簽署金鑰，即可偽造 SAML 判斷提示並在無需任何 MFA 互動的情況下存取雲端資源。

保護雲端身分需要將您套用於人類使用者的相同具抗網路釣魚能力 MFA 控制，套用到服務帳戶與 OAuth 流程。機器身分是雲端環境中成長最快的攻擊面，也是最常被排除在您的 MFA 邊界之外的一環。

SentinelOne 如何協助偵測 MFA 繞過攻擊

MFA 繞過攻擊存在於驗證與存取之間的空間。僅監控身分提供者仍會留下可被攻擊者利用的缺口。SentinelOne 的 SingularityTM Platform 透過將驗證事件與端點行為、網路活動及整個環境中的使用者動作進行關聯分析，來彌補這些缺口。

Singularity Identity 將防護延伸至您的 身分基礎架構。它可即時攔截針對 Active Directory 和雲端身分提供者 liike Entra ID、Ping、Okta、Duo 與 SecureAuth 的進行中攻擊，涵蓋內部部署與雲端。Behavioral AI 會標記不可能旅行模式、憑證濫用，以及與權杖操作相關的權限提升。當身分活動與工作階段濫用相符時，平台就會採取行動。它會終止惡意程序、結束遭入侵的工作階段，並隔離受影響的端點。

Singularity Identity 也會持續掃描弱密碼、暴露與遭入侵的憑證，並提供自主回應，在憑證型攻擊觸及您的環境之前加以阻止。

預約 SentinelOne 示範，了解您如何在整個環境中發現並阻止 MFA 繞過攻擊。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點整理

MFA 仍然不可或缺，但並非牢不可破。從提示轟炸到 OAuth 同意網路釣魚，八種不同的繞過技術都在利用舊版 MFA 的弱點。前進方向很明確：升級為專為此威脅打造的策略。 

具抗網路釣魚能力的 MFA (FIDO2/WebAuthn) 搭配可即時捕捉驗證後異常的行為監控，能讓 MFA 從負擔重新變成真正的優勢。