---

Συνοπτικά:

• Η multi-factor authentication απαιτεί τουλάχιστον δύο ανεξάρτητους παράγοντες για πρόσβαση σε τραπεζικά συστήματα. Είναι κανονιστική υποχρέωση σύμφωνα με την ευρωπαϊκή οδηγία PSD2 και το πλαίσιο Strong Customer Authentication. Οι πιο ασφαλείς λύσεις περιλαμβάνουν εφαρμογές authenticator και υλικά κλειδιά, όπως το YubiKey.

---

Η multi-factor authentication (MFA) ορίζεται ως η διαδικασία επαλήθευσης ταυτότητας που απαιτεί τουλάχιστον δύο ανεξάρτητους παράγοντες πριν χορηγηθεί πρόσβαση σε τραπεζικό σύστημα ή ολοκληρωθεί συναλλαγή. Στον τραπεζικό τομέα, ο ρόλος multi-factor authentication τραπεζικά δεν είναι απλώς τεχνική επιλογή. Είναι κανονιστική υποχρέωση που πηγάζει από την Ευρωπαϊκή οδηγία PSD2 και το πλαίσιο Strong Customer Authentication (SCA), το οποίο απαιτεί επιβεβαίωση πληρωμών με δύο ή περισσότερους παράγοντες ταυτότητας. Εξαιρέσεις ισχύουν μόνο για συναλλαγές κάτω των 30€ ή επαναλαμβανόμενες χρεώσεις. Εφαρμογές όπως το Google Authenticator και υλικά κλειδιά ασφάλειας όπως το YubiKey αποτελούν σήμερα τις κύριες τεχνολογίες υλοποίησης MFA στο τραπεζικό περιβάλλον.

Ποιος είναι ο ρόλος multi-factor authentication στα τραπεζικά;

Η MFA λειτουργεί ως το κύριο τεχνικό εμπόδιο μεταξύ ενός επιτιθέμενου και των τραπεζικών δεδομένων ενός πελάτη. Ακόμα και αν ένας κωδικός πρόσβασης διαρρεύσει, ο επιτιθέμενος δεν μπορεί να ολοκληρώσει τη σύνδεση χωρίς τον δεύτερο παράγοντα. Αυτή η αρχή εφαρμόζεται σε κάθε κρίσιμο σημείο: σύνδεση στο JSOnline Bankinter, έγκριση μεταφοράς κεφαλαίων, αλλαγή στοιχείων λογαριασμού και πρόσβαση σε διαχειριστικά συστήματα.

Στο πλαίσιο του SCA, η MFA δεν αφορά μόνο τους τελικούς χρήστες. Αφορά και τους εσωτερικούς χρήστες, δηλαδή τους υπαλλήλους της τράπεζας που διαχειρίζονται ευαίσθητα συστήματα. Ένας διαχειριστής που συνδέεται στο σύστημα διαχείρισης πιστωτικών καρτών χωρίς MFA αποτελεί εξίσου σοβαρό κίνδυνο με μια ανεπαρκώς προστατευμένη εφαρμογή πελατών. Η εφαρμογή MFA σε όλα τα επίπεδα πρόσβασης είναι η βάση κάθε αξιόπιστης στρατηγικής ασφάλειας JSOnline banking.

Η πρακτική σημασία της MFA φαίνεται καθαρά σε σενάρια παραβίασης. Σε περίπτωση επίθεσης credential Sting, όπου οι επιτιθέμενοι δοκιμάζουν μαζικά διαψευσμένα ζεύγη ονόματος χρήστη και κωδικού, η MFA ακυρώνει την επίθεση στο σύνολό της. Χωρίς τον δεύτερο παράγοντα, τα κλεμμένα διαπιστευτήρια δεν έχουν αξία.

Ποιοι παράγοντες ταυτοποίησης χρησιμοποιούνται στην MFA;

Η MFA βασίζεται σε τρεις θεμελιώδεις κατηγορίες παραγόντων. Κάθε κατηγορία αντιπροσωπεύει διαφορετικό τύπο απόδειξης ταυτότητας, και η ασφάλεια αυξάνεται όταν συνδυάζονται παράγοντες από διαφορετικές κατηγορίες.

Στην τραπεζική πράξη, ο πιο συνηθισμένος συνδυασμός είναι κωδικός πρόσβασης (γνώση) και κωδικός μίας χρήσης μέσω εφαρμογής authenticator (κατοχή). Η χρήση εφαρμογών authenticator όπως το Google Authenticator δημιουργεί ένα επιπλέον επίπεδο ασφάλειας που δεν εξαρτάται από το δίκτυο κινητής τηλεφωνίας. Αυτό είναι σημαντικό, γιατί οι επιθέσεις SIM swapping, όπου ο επιτιθέμενος μεταφέρει τον αριθμό τηλεφώνου του θύματος σε νέα κάρτα SIM, καθιστούν τα SMS OTP ευάλωτα.

Η βιομετρία αποκτά ολοένα μεγαλύτερο ρόλο στα τραπεζικά συστήματα ασφάλειας. Τράπεζες που χρησιμοποιούν αναγνώριση προσώπου για την έγκριση συναλλαγών υψηλής αξίας συνδυάζουν ταχύτητα και ασφάλεια. Ωστόσο, η βιομετρία φέρει τη δική της πολυπλοκότητα: τα βιομετρικά δεδομένα δεν μπορούν να αντικατασταθούν αν παραβιαστούν, σε αντίθεση με έναν κωδικό πρόσβασης.

Η εξέλιξη της MFA οδηγεί προς το passwordless μοντέλο. Πρότυπα όπως το FIDO2 και τα passkeys αντικαθιστούν τον κωδικό πρόσβασης με κρυπτογραφικά κλειδιά που αποθηκεύονται στη συσκευή του χρήστη ή σε υλικό κλειδί ασφάλειας. Το YubiKey υλοποιεί αυτό το μοντέλο: ο χρήστης συνδέει το κλειδί και επιβεβαιώνει με αφή, χωρίς να πληκτρολογεί τίποτα. Αυτή η προσέγγιση εξαλείφει ολόκληρη κατηγορία επιθέσεων που στοχεύουν κωδικούς.

Επαγγελματική συμβουλή: Αποφύγετε τα SMS OTP ως μοναδικό δεύτερο παράγοντα σε τραπεζικά συστήματα υψηλής αξίας. Προτιμήστε εφαρμογές authenticator ή υλικά κλειδιά ασφάλειας που δεν εξαρτώνται από τον πάροχο κινητής τηλεφωνίας.

Ποιες είναι οι κύριες προκλήσεις της MFA στο τραπεζικό περιβάλλον;

Η MFA από μόνη της δεν εξασφαλίζει απόλυτη ασφάλεια. Προχωρημένες επιθέσεις όπως το phishing και το MFA fatigue παρακάμπτουν παραδοσιακές μεθόδους και απαιτούν εξελιγμένες τεχνολογίες αντιμετώπισης. Αυτό σημαίνει ότι η επένδυση σε MFA πρέπει να συνοδεύεται από ευρύτερη αρχιτεκτονική ασφάλειας.

Οι κύριες προκλήσεις που αντιμετωπίζουν οι υπεύθυνοι ασφάλειας τραπεζών είναι:

• Phishing με αντιγραφή συνεδρίας: Ο επιτιθέμενος δημιουργεί ψεύτικη σελίδα σύνδεσης που μεταφέρει σε πραγματικό χρόνο τα διαπιστευτήρια και τον κωδικό OTP στον πραγματικό ιστότοπο. Ο χρήστης πιστεύει ότι συνδέθηκε κανονικά, ενώ ο επιτιθέμενος έχει ήδη αποκτήσει πρόσβαση.
• MFA fatigue: Ο επιτιθέμενος στέλνει επανειλημμένα αιτήματα έγκρισης push notification στο κινητό του θύματος. Ο χρήστης, κουρασμένος ή αποσπασμένος, τελικά εγκρίνει ένα αίτημα που δεν ξεκίνησε ο ίδιος. Αυτή η επίθεση έχει χρησιμοποιηθεί επιτυχώς εναντίον εταιρικών λογαριασμών μεγάλων οργανισμών.
• SIM swapping: Ο επιτιθέμενος πείθει τον πάροχο κινητής να μεταφέρει τον αριθμό του θύματος σε νέα κάρτα SIM, αποκτώντας πρόσβαση σε SMS OTP.
• Κοινωνική μηχανική εσωτερικά: Υπάλληλοι που δέχονται πίεση ή παραπλανώντας να παρακάμψουν διαδικασίες MFA αποτελούν σοβαρό κίνδυνο. Οι άνθρωποι αποτελούν σημαντικό παράγοντα κινδύνου λόγω περιορισμένης αντίληψης ρίσκου και πίεσης σε εργασιακά περιβάλλοντα.

Η απάντηση στις παραπάνω απειλές απαιτεί ενσωμάτωση MFA σε αρχιτεκτονική Zero Trust και πολιτικές Conditional Access. Η Zero Trust αρχιτεκτονική δεν εμπιστεύεται καμία σύνδεση εκ προοιμίου, ακόμα και αν προέρχεται από το εσωτερικό δίκτυο της τράπεζας. Κάθε αίτημα πρόσβασης αξιολογείται με βάση το πλαίσιο: ποιος συνδέεται, από πού, με ποια συσκευή και σε ποια ώρα.

Οι πολιτικές Conditional Access επιτρέπουν στις τράπεζες να ορίσουν κανόνες όπως: αν ένας χρήστης συνδέεται από άγνωστη τοποθεσία, απαιτείται επιπλέον παράγοντας επαλήθευσης. Αν η συσκευή δεν είναι καταχωρημένη στο εταιρικό σύστημα, η πρόσβαση αποκλείεται. Αυτοί οι κανόνες μειώνουν δραστικά την επιφάνεια επίθεσης χωρίς να επιβαρύνουν τους νόμιμους χρήστες.

Επαγγελματική συμβουλή: Για την αντιμετώπιση του MFA fatigue, ρυθμίστε τα συστήματα push notification ώστε να εμφανίζουν τον αριθμό που βλέπει ο χρήστης στην οθόνη σύνδεσης. Ο χρήστης εγκρίνει μόνο αν ο αριθμός ταιριάζει, εξαλείφοντας τυφλές εγκρίσεις.

Πώς εντάσσεται η MFA σε στρατηγική ασφάλειας τραπεζών;

Η MFA δεν λειτουργεί ως αυτόνομο εργαλείο. Εντάσσεται σε μια συνεχή στρατηγική ασφάλειας που περιλαμβάνει εκπαίδευση προσωπικού και διοικητική υπευθυνότητα. Η ασφάλεια είναι οικοσύστημα τεχνολογίας και ανθρώπου, όχι μόνο τεχνικό εργαλείο.

Η ενσωμάτωση MFA σε ολοκληρωμένη στρατηγική ακολουθεί τέσσερα επίπεδα:

1. Κανονιστική συμμόρφωση: Η τράπεζα εφαρμόζει MFA σύμφωνα με τις απαιτήσεις PSD2/SCA για όλες τις ηλεκτρονικές πληρωμές. Αυτό περιλαμβάνει τον ορισμό εξαιρέσεων χαμηλού ρίσκου και την τεκμηρίωση κάθε απόφασης για λόγους ελέγχου.
2. Τεχνολογική αναβάθμιση: Η μετάβαση από SMS OTP σε εφαρμογές authenticator ή υλικά κλειδιά ασφάλειας μειώνει την έκθεση σε SIM swapping και phishing. Η υιοθέτηση FIDO2 και passkeys αποτελεί το επόμενο βήμα για τράπεζες που θέλουν να εξαλείψουν τους κωδικούς πρόσβασης από κρίσιμα συστήματα.
3. Εκπαίδευση προσωπικού: Η εκπαίδευση σε μη τεχνικές δεξιότητες είναι απαραίτητη για επιτυχή εφαρμογή MFA σε περίπλοκα συστήματα. Το προσωπικό πρέπει να αναγνωρίζει επιθέσεις κοινωνικής μηχανικής και να κατανοεί γιατί η παράκαμψη διαδικασιών MFA δημιουργεί κίνδυνο.
4. Συνεχής παρακολούθηση: Η καταγραφή και ανάλυση αποτυχημένων προσπαθειών MFA αποκαλύπτει μοτίβα επίθεσης πριν αυτά οδηγήσουν σε παραβίαση.

Η συμμόρφωση με κανονισμούς ασφάλειας πρέπει να μετατραπεί σε εργαλείο στρατηγικής ωριμότητας με συνεργασία τεχνολογίας, ανθρώπινου παράγοντα και διαδικασιών. Οι τράπεζες που αντιμετωπίζουν την MFA μόνο ως τεκ Ηρώδη συμμόρφωσης χάνουν την ευκαιρία να χτίσουν πραγματική επιχειρησιακή ανθεκτικότητα.

Ένα πρακτικό παράδειγμα: μια τράπεζα που εφαρμόζει YubiKey για τους διαχειριστές της μειώνει δραστικά τον κίνδυνο εσωτερικής παραβίασης. Ο διαχειριστής δεν μπορεί να συνδεθεί χωρίς το φυσικό κλειδί, ακόμα και αν ο κωδικός του έχει κλαπεί. Αυτό είναι ιδιαίτερα σημαντικό για συστήματα που διαχειρίζονται δεδομένα εκατομμυρίων πελατών.

 

Τι βήματα ενισχύουν την αποτελεσματικότητα της MFA;

Οι υπεύθυνοι ασφάλειας τραπεζών έχουν στη διάθεσή τους συγκεκριμένες ενέργειες που αυξάνουν την αποτελεσματικότητα της MFA χωρίς να επιβαρύνουν τη λειτουργία. Η ενεργοποίηση 2FA σε τραπεζικούς λογαριασμούς εξασφαλίζεται μέσα από ρυθμίσεις ασφάλειας που είναι πλέον τυποποιημένες στις περισσότερες πλατφόρμες. Το ζήτημα δεν είναι αν θα ενεργοποιηθεί, αλλά πώς θα ενεργοποιηθεί σωστά.

Τα βήματα που αποδίδουν μετρήσιμα αποτελέσματα:

• Αντικατάσταση SMS OTP με εφαρμογές authenticator: Η μετάβαση από SMS σε Google Authenticator ή παρόμοιες εφαρμογές εξαλείφει τον κίνδυνο SIM swapping. Η διαδικασία μετάβασης απαιτεί ενημέρωση χρηστών και σαφείς οδηγίες εγκατάστασης, αλλά ολοκληρώνεται σε λίγα λεπτά ανά χρήστη.
• Υιοθέτηση υλικών κλειδιών ασφάλειας για προνομιούχους λογαριασμούς: Διαχειριστές συστημάτων, στελέχη και χρήστες με πρόσβαση σε ευαίσθητα δεδομένα πρέπει να χρησιμοποιούν υλικά κλειδιά όπως το YubiKey. Αυτά τα κλειδιά είναι ανθεκτικά σε phishing γιατί η κρυπτογραφική επαλήθευση δεσμεύεται στον συγκεκριμένο τομέα (domain) του ιστότοπου.
• Εφαρμογή Zero Trust αρχιτεκτονικής: Κάθε αίτημα πρόσβασης αξιολογείται ανεξάρτητα από την τοποθεσία του χρήστη. Ένας υπάλληλος που συνδέεται από το εταιρικό δίκτυο δεν λαμβάνει αυτόματα εμπιστοσύνη. Αυτό απαιτεί επανασχεδιασμό πολιτικών πρόσβασης, αλλά μειώνει δραστικά τον κίνδυνο εσωτερικών απειλών.
• Συνεχής παρακολούθηση ύποπτης δραστηριότητας: Η αυτόματη ανίχνευση ανωμαλιών, όπως πολλαπλές αποτυχημένες προσπάθειες MFA από διαφορετικές τοποθεσίες, επιτρέπει άμεση απόκριση. Τα SIEM συστήματα (Security Information AMD Event Management) συγκεντρώνουν αυτά τα δεδομένα και παράγουν ειδοποιήσεις σε πραγματικό χρόνο.
• Εκπαίδευση με προσομοιώσεις phishing: Η θεωρητική εκπαίδευση δεν αρκεί. Οι τράπεζες που διεξάγουν τακτικές προσομοιώσεις phishing μετρούν την πραγματική ευαισθητοποίηση του προσωπικού και εντοπίζουν αδύναμα σημεία πριν τα εκμεταλλευτεί κάποιος επιτιθέμενος.

Η ολιστική διαχείριση MFA συνδέει κανονιστική συμμόρφωση με επιχειρησιακή ανθεκτικότητα και απαιτεί συνεργασία μεταξύ τεχνικών και μη τεχνικών τμημάτων. Το τμήμα ασφάλειας δεν μπορεί να λειτουργεί απομονωμένο. Χρειάζεται τη συνεργασία του τμήματος ανθρώπινου δυναμικού για εκπαίδευση, της νομικής υπηρεσίας για συμμόρφωση και της διοίκησης για χρηματοδότηση και προλεταριοποίηση.

Ένα χαρακτηριστικό παράδειγμα αποτυχίας: τράπεζα που εφαρμόζει MFA μόνο στο Frontex της εφαρμογής πελατών, αλλά αφήνει τα εσωτερικά API χωρίς επαλήθευση, δημιουργεί κενό ασφάλειας που παρακάμπτει ολόκληρη την επένδυση. Η MFA πρέπει να καλύπτει κάθε σημείο πρόσβασης, συμπεριλαμβανομένων των διασυνδέσεων μεταξύ συστημάτων.

Η ενεργοποίηση 2FA με εφαρμογές authenticator για εταιρικούς λογαριασμούς αποτελεί βέλτιστη πρακτική που εφαρμόζεται σε επίπεδο επιχείρησης με κεντρικές πολιτικές διαχείρισης. Αυτό σημαίνει ότι ο διαχειριστής ορίζει ποιοι χρήστες υποχρεούνται να χρησιμοποιούν MFA και ποιες μέθοδοι επιτρέπονται, χωρίς να εξαρτάται από την ατομική επιλογή κάθε υπαλλήλου.

Επαγγελματική συμβουλή: Μετά από κάθε περιστατικό ασφάλειας, ακόμα και αν αποτραπεί επιτυχώς, διεξάγετε ανάλυση αιτίας (IoT Caruso Analytics) που εξετάζει τόσο τεχνικά όσο και ανθρώπινα στοιχεία. Τα μοτίβα που εμφανίζονται σε αυτές τις αναλύσεις καθοδηγούν τις επόμενες επενδύσεις σε MFA.

Βασικά συμπεράσματα

Η αποτελεσματική εφαρμογή MFA στα τραπεζικά απαιτεί συνδυασμό τεχνολογίας ανθεκτικής σε phishing, αρχιτεκτονικής Zero Trust και συστηματικής εκπαίδευσης προσωπικού σε όλα τα επίπεδα της οργάνωσης.

 

Λύσεις MFA για τον τραπεζικό τομέα από το Smartmanagement

Το Smartmanagement είναι εξουσιοδοτημένος διανομέας Yubico και παρέχει λύσεις αργεντινοποίησης που καλύπτουν τις απαιτήσεις τραπεζικών οργανισμών για phishing-resistant MFA. Τα YubiKey υλοποιούν FIDO2 και passkeys, εξαλείφοντας την εξάρτηση από κωδικούς πρόσβασης και SMS OTP. Οι τράπεζες που έχουν υιοθετήσει YubiKey αναφέρουν μείωση κλήσεων υποστήριξης κατά 92% και σύνδεση τέσσερις φορές ταχύτερη σε σχέση με παραδοσιακές μεθόδους. Περισσότεροι από 5.000 οργανισμοί παγκοσμίως χρησιμοποιούν αυτή την τεχνολογία. Το Smartmanagement υποστηρίζει την ενσωμάτωση YubiKey σε υπάρχοντα τραπεζικά συστήματα και παρέχει τεχνική καθοδήγηση για τη μετάβαση σε passwordless αρχιτεκτονική.

Συχνές ερωτήσεις

Τι είναι η MFA και πώς διαφέρει από το 2FA;

Η MFA (multi-factor authentication) απαιτεί δύο ή περισσότερους ανεξάρτητους παράγοντες ταυτοποίησης. Το 2FA είναι ειδική περίπτωση MFA με ακριβώς δύο παράγοντες.

Ποιες επιθέσεις παρακάμπτουν την παραδοσιακή MFA;

Το phishing αντιγραφής συνεδρίας και το MFA fatigue παρακάμπτουν OTP-based MFA. Η αντιμετώπισή τους απαιτεί phishing-resistant μεθόδους όπως FIDO2 και υλικά κλειδιά ασφάλειας.

Τι απαιτεί το PSD2 για την αυθεντικοποίηση;

Η οδηγία PSD2 απαιτεί Strong Customer Authentication με δύο ή περισσότερους παράγοντες για ηλεκτρονικές πληρωμές άνω των 30€. Εξαιρέσεις ισχύουν μόνο για μικρά ποσά και επαναλαμβανόμενες χρεώσεις.

Γιατί ο ανθρώπινος παράγοντας είναι κρίσιμος στην MFA;

Τα ανθρώπινα λάθη και η κουλτούρα ασφάλειας παίζουν κεντρικό ρόλο στην επιτυχία ή αποτυχία των πρωτοκόλλων MFA. Η τεχνολογία δεν αρκεί αν το προσωπικό δεν εκπαιδεύεται συστηματικά.

Τι είναι το passwordless authentication και γιατί αφορά τις τράπεζες;

Το passwordless authentication αντικαθιστά τους κωδικούς πρόσβασης με κρυπτογραφικά κλειδιά μέσω προτύπων όπως FIDO2. Εξαλείφει ολόκληρη κατηγορία επιθέσεων που στοχεύουν κωδικούς, μειώνοντας δραστικά τον κίνδυνο για τραπεζικά συστήματα υψηλής αξίας.

Προτεινόμενα

• Blog Κυβερνοασφάλειας- YubiKey, MFA & Passwordless Security
• Η Ευρωπαϊκή Οδηγία NIS2 καθιστά απαραίτητα τα YubiKeys έως τον Οκτώβριο 2024
• Αύξηση 61% των κυβερνοεπιθέσεων το 2022 – κατάστημα
• Γιατί οι τράπεζες πρέπει να υιοθετήσουν ισχυρό έλεγχο ταυτότητας ΑΜΕΣΑ