Kode Google Authenticator 2FA beresiko dari malware Android ini

Tidak semua sistem otentikasi dua faktor, a.k.a. 2FA, dibuat sama dan beberapa, seperti SMS, dianggap tidak aman tetapi masih lebih baik daripada tidak ada 2FA sama sekali. Sebagai pengganti biometrik di mana-mana, metode 2FA termudah yang disarankan adalah penggunaan aplikasi 2FA yang Google Authenticator mungkin paling populer. Tetapi bagaimana jika aplikasi 2FA itu sendiri diketahui tidak aman? Itulah situasi yang agak mengkhawatirkan yang mungkin dialami pengguna berkat malware baru yang untungnya belum dirilis.

Aplikasi 2FA seperti Google Authenticator, Authy, dan LastPass, hanya untuk beberapa nama, cukup banyak bertindak seperti manajer kata sandi kecuali mereka hanya menghasilkan One-Time Passwords (OTPs) ketika Anda membuka aplikasi. OTP, tentu saja, kedaluwarsa sehingga tidak dapat digunakan kembali atau bahkan digunakan setelah periode waktu yang telah berlalu. Seperti halnya manajer kata sandi, semua keamanan itu dibuang ke luar jendela jika aplikasi itu sendiri dikompromikan.

Agar adil, bukan Google Authenticator itu sendiri yang rentan terhadap serangkaian malware yang dikenal sebagai trojan perbankan online Cerberus. Sebaliknya, ini adalah efek samping dari layanan Aksesibilitas Android yang terkadang terlalu kuat yang membocorkan informasi 2FA ke peretas. Tambahkan Trojan Akses Jauh atau RAT seperti Cerberus ke sana dan Anda punya resep untuk mimpi buruk keamanan.

Ini versi yang sangat baru Cerberus penyalahgunaan fungsi Aksesibilitas tersebut untuk membaca apa yang seharusnya sangat aman dan konten yang sangat pribadi dari aplikasi 2FA Google. Peretas yang menggunakan malware ini kemudian dapat menggunakan kode itu untuk masuk ke akun perbankan online korban. Juga tidak ada yang menghentikan mereka dari menggunakan kode non-perbankan untuk meretas akun pengguna lain juga.

Berita yang agak bagus adalah strain Cerberus ini dilaporkan masih belum dijual di alam liar karena masih dalam pengujian berat. Itu mungkin memberi Google waktu untuk mengamankan Authenticator dan Android dari serangan semacam itu. Ini juga berfungsi sebagai pengingat bagi pengguna yang nyaman seperti aplikasi 2FA dan pengelola kata sandi, mereka bukan pengganti kewaspadaan dan akal sehat.