Laut der Analyse speisen Angreifer einen frischen Datensatz wie diesen zunächst in das sogenannte Credential Stuffing ein: Die offengelegten Adressen werden mit Passwörtern aus früheren Datenlecks – genannt werden LinkedIn, Dropbox und RockYou2024 – kombiniert und automatisiert gegen Unternehmensportale, VPN-Gateways, Microsoft 365, Okta und Identitätsanbieter getestet. Bei frischen E-Mail-Listen lägen die Erfolgsquoten solcher Kampagnen routinemäßig bei zwei bis drei Prozent – bei 967.000 Datensätzen wären das 19.000 bis 29.000 gültige Zugangsdatenpaare.

Der zweite Ablauf ist gezieltes Phishing. KI-gestützte Werkzeuge erzeugen aus einer E-Mail-Liste innerhalb von Minuten personalisierte Kampagnen, die die Organisation namentlich nennen und interne Kommunikation imitieren. Der dritte Ablauf ist Social Engineering gegen den Helpdesk: Mit einer gültigen Adresse und einfacher offener Informationssammlung (OSINT) geben sich Angreifer am Telefon als Mitarbeiter aus und verlangen Passwort-Resets, das Zurücksetzen von MFA-Geräten oder Kontofreischaltungen. Dieser Weg umgeht die Authentifizierungstechnik vollständig, weil er den menschlichen Prozess dahinter angreift.

In keinem dieser Abläufe sei eine technische Schwachstelle nötig. Ziel des Angreifers sei nicht der Einbruch, sondern die Anmeldung als gültiger Nutzer.

Zentral ist das Argument gegen MFA: Moderne Angriffswerkzeuge führen ein Echtzeit-Phishing-Relay aus, auch Adversary-in-the-Middle (AiTM) genannt. Ein Reverse-Proxy sitzt zwischen Opfer und legitimem Dienst, leitet eingegebene Zugangsdaten in Echtzeit weiter, fängt die daraufhin ausgelöste MFA-Abfrage ab, reicht sie an das Opfer durch und erhält am Ende eine authentifizierte Sitzung. Push-Benachrichtigungen, SMS-Einmalcodes und TOTP-Authenticator-Apps seien dagegen alle anfällig, weil sie nur den Austausch eines Codes bestätigen, nicht aber prüfen, ob die ausführende Person der berechtigte Kontoinhaber ist. Frei verfügbare und aktiv gepflegte Werkzeuge wie Evilginx, Modlishka und Muraena automatisierten diesen Angriff.

Hinzu komme MFA-Ermüdung: Wer gültige Zugangsdaten besitzt, die Sitzung aber nicht in Echtzeit weiterleiten kann, löst wiederholt Push-Benachrichtigungen aus, bis ein Nutzer aus Frust eine davon bestätigt. Dies sei laut der Analyse bereits erfolgreich gegen Organisationen mit ausgereiften Sicherheitsprogrammen eingesetzt worden, auch in öffentlich breit berichteten Vorfällen.

Die übliche Antwort der Branche – Nutzerschulung – sei nicht falsch, aber unzureichend, und zwar aus architektonischen Gründen: Beim Relay-Angriff ist die MFA-Aufforderung echt, vom legitimen Dienst ausgestellt und über dieselbe App zugestellt, die der Nutzer täglich verwendet. Es gebe nichts Auffälliges zu erkennen.

Auch FIDO2/WebAuthn sei ein Fortschritt, aber allein nicht ausreichend: Cloud-synchronisierte Passkeys erbten die Schwächen des Cloud-Kontos – etwa SIM-Swapping gegen die Wiederherstellungsnummer –, während gerätegebundene Passkeys nur den Gerätebesitz, nicht die Anwesenheit des Menschen belegen. Prüfer, Regulierer und Cyber-Versicherer zögen diese Unterscheidung zunehmend explizit, etwa in CMMC-Bewertungen, NYDFS-Prüfungen und Fragebögen von Versicherern.

Token bewirbt auf dieser Grundlage seine „Biometric Assured Identity"-Plattform beziehungsweise TokenCore, die erzwungene Biometrie, hardwaregebundene kryptografische Authentifizierung und physische Näheprüfung per Bluetooth (innerhalb von rund einem Meter) kombiniere – ohne Rückfalloption oder Bypass-Code. Das wireless Gerät komme ohne USB-Anschluss aus, die Authentifizierung dauere ein bis drei Sekunden und lasse sich per Funk aktualisieren.