MFA reset: kad ti čovjek na telefonu proda cijeli security sustav

Niko nije ukrao lozinku. Niko nije probijao firewall, nije reverse-engineerao kod, nije sjedio u podrumu s kapuljačom i pet monitora. Samo je nazvao IT support, rekao "izgubio sam pristup" i dobio novu autentifikaciju na svoje ime. To je najdominantniji napad na financijski sektor u posljednjih dvanaest mjeseci. Čovjek na drugoj strani linije je bio ljubazan, profesionalan i jebeno uvjerljiv — i to mu je bilo dovoljno da registrira vlastiti uređaj na mreži banke koja čuva milijarde.

CrowdStrikeov izvještaj za 2026. je dijagnoza koju niko nije tražio, ali je svi trebaju pročitati. Statistika je brutalna: napadač koji ne dira password, nego traži reset MFA i krade token, postao je standardni modus operandi. Ne treba mu tvoj PIN, ne treba mu tvoj fingerprint, ne treba mu ništa što ti misliš da te štiti. Treba mu samo jedan zaposlenik koji je umoran, pod pritiskom, ili jednostavno nije prošao trening da prepozna glas koji zvuči kao IT admin. I eto ga — unutra je. Koji kurac.

A sad zamisli scenu: sjediš u uredu, radiš osmi sat, netko te nazove, predstavi se kao iz servisa, kaže da imaju problema s tvojom autentifikacijom i da trebaju reset. Daju ti ime, prezime, odjel, možda čak i broj kancelarije. Zvuče kao da znaju sve. I ti, jer si dobar zaposlenik i jer želiš riješiti problem, pritisneš "potvrdi". I gotovo. Tvoj token je njihov. Tvoja banka je njihova. Tvoja sigurnost je iluzija. A najgore od svega? Nisi ti kriv. Kriv je sistem koji je autentifikaciju pretvorio u proceduru koju može izvesti bilo tko s dovoljno drskosti i Google pretrage.

Podsjeća me na nešto. Sjećam se kad smo u Kvarner Netu imali prvi ozbiljniji phishing napad — neki klinac iz Splita je nazvao korisnika, rekao da je iz tehničke podrške, i pitao za lozinku. I čovjek mu je dao. Bez pitanja, bez provjere, samo "evo, moja lozinka je pasword123". Tada smo shvatili da najskuplji firewall ne vrijedi ništa ako je najslabija karika u lancu čovjek koji se boji da će izgubiti internet. Dvadeset godina kasnije, ništa se nije promijenilo. Samo su alati postali sofisticiraniji, a žrtve i dalje iste.

E sad, ono što je posebno zanimljivo u ovom izvještaju nije samo tehnika napada, nego profil žrtve. Financijski sektor je tradicionalno bio najzaštićeniji — banke troše milijarde na sigurnost, imaju dedicated timove, penetration testing, sve po PSI DSS standardu. I opet su najranjiviji. Zašto? Zato što su ljudi koji rade u bankama pod konstantnim pritiskom. Kad ti klijent prijeti tužbom jer ne može pristupiti računu, a nadređeni ti visi za vratom da riješiš ticket u roku od 15 minuta, ti ne provjeravaš autentičnost svakog poziva. Ti rješavaš problem. I to je ono što napadač iskorištava — tvoju potrebu da budeš efikasan.

I tu dolazimo do ključnog pitanja koje niko ne postavlja, a trebao bi: ako je MFA toliko siguran da ga svi preporučuju kao zlatni standard, zašto ga je tako lako resetirati? Zašto procedura koja bi trebala biti najveća prepreka napadaču postaje najveća rupa u sistemu? Zato što je dizajnirana da bude korisniku prijateljska, a ne da bude sigurna. Banke su odlučile da je bolje imati brzi reset nego frustriranog korisnika. I ta odluka košta. Ne novac — povjerenje. A povjerenje je jedina valuta koja u financijskom sektoru stvarno vrijedi.

Napadači su to shvatili prije nego što su security stručnjaci. Oni ne napadaju tehnologiju, napadaju ljude. I to rade s preciznošću kirurga koji zna točno gdje da zareže. Socijalni inženjering nije nova vještina — star je koliko i prva laž. Ali sad ima alate koje prije nije imao: podatke iz data breachova, profile s LinkedIna, čak i glasovne deepfakeove koji zvuče kao tvoj šef. Kombinacija je smrtonosna. I dok se industrija fokusira na kvantnu kriptografiju i AI detekciju anomalija, netko samo digne slušalicu i kaže "dobar dan, IT support, kako vam mogu pomoći".

Rješenje nije u jačanju tehnologije. Rješenje je u mijenjanju kulture. Trening nije PowerPoint prezentacija koju odgledaš jednom godišnje i zaboraviš za sat vremena. Trening je ponavljanje do iznemoglosti: niko ne smije resetirati MFA bez fizičke potvrde, niko ne smije dati pristup bez provjere identiteta kroz dva kanala, niko ne smije vjerovati glasu na telefonu bez da nazove nazad na broj koji zna. Ali to košta. Košta vremena, košta strpljenja, košta frustracije korisnika. I zato se ne radi. Jer je lakše reći "imamo MFA, sigurni smo" nego priznati da je cijeli sistem sigurnosti jedna velika iluzija.

I tako smo opet izumili kotač. Ovaj put s tokenom i procedurom resetiranja od 47 koraka koje niko ne čita. Tržište ne laže. Ali napadači itekako znaju da je najlakše nazvati i pitati. Ako moraš objasniti zašto tvoj security nije prijevara, vjerojatno jest.

Izvor: venturebeat.com