研究人员发现了一种在流行云环境中冒充 Okta 用户的方法 媒体

2025-11-13 20:26:25

Okta 帐号被盗用的潜在威胁与防范措施

重要重点

最新报告指出，研究人员发现了一种针对 Okta 的模仿技术，这使得 Okta 管理员可能被冒充为其他用户，从而在 Azure、Google Cloud Platform 或 AWS 等其他应用程序中获得提升的权限。

根据 Permiso Security 和 ACV Auctions 的一篇 博客文章，这种模仿技术已被证明是一种有效的绕过多因素身份验证 (MFA) 的方式。虽然模仿者可能需要通过自己的 MFA 检查，但在模拟用户的上下文中，不需要再次提供 MFA 验证。

如何进行模仿攻击

Permiso 的 P0 Labs 副总裁 Ian Ahl 解释了这种攻击的运作方式：

“在 Okta 中，你有一个正常的用户名用于登录，但也可以拥有应用程序专用的用户名。模仿技术利用了能够使用不同的应用程序用户名。攻击者只需修改应用程序用户名为他们希望模仿的身份。然后，攻击者将以他们的正常身份例如 [email protected]登录 Okta，然后点击 AWS 应用程序，这已经被配置为 [email protected]，这使他们能够以 Sally 的身份进行 AWS 认证。”

Darryl Athans，senhasegura 公司的北美副总裁，表示特权凭证是恶意攻击者常用的攻击向量。根据 Verizon 的资料泄露调查报告 2022，Athans 指出几乎一半的资料泄露事件都是利用凭证进行的。他表示，通过使用模仿技术，这些恶意攻击者可能会透过特权凭证获得未经授权的访问。

“管理员可以采取的一种很好的预防措施是强制对用户实施 MFA，”Athans 说。“这样，即使攻击者可能会破解凭证，但却无法执行攻击，主要因为需要另一个身份验证因素。另一种有效的预防措施是实施特权访问管理解决方案，以便管理员能够验证通过凭证执行的所有操作，并快速检测用户的异常或恶意行为。”

最近的 0ktapus 钓鱼活动

在与 Okta 相关的最新消息中，GroupIB Threat Intelligence 于周五报告说，他们的一个客户成为了在一项名为“0ktapus”的大规模钓鱼活动中的目标，该活动针对多个知名组织。GroupIB 表示，攻击者的目的是窃取被针对组织的 Okta 身份凭证 和双因素身份验证代码。

Permiso 的 Ahl 表示，他们的研究与 GroupIB 的 Oktapus 文章并不直接相关，但却很有关联性。“[GroupIB 的] 文章是关于攻