proto.lib

Bề mặt tấn công của Account Recovery

Kẻ tấn công không phá được passkey hay MFA sẽ nhắm vào luồng khôi phục tài khoản — social engineering với support, email dự phòng cũ, số điện thoại bị tái cấp; recovery phải được bảo vệ ít nhất bằng độ mạnh của phương thức đăng nhập chính, không phải một cửa hậu yếu hơn.

SecurityTrung bình2026-08-25
Bề mặt tấn công của Account Recovery

Tags

#account-recovery#social-engineering#phone-recycling#support-impersonation#authentication#notification

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

MFA Push Fatigue và cách phòng thủ (Number Matching)

Kẻ tấn công đã có mật khẩu hợp lệ nhưng thiếu MFA sẽ spam push notification liên tục cho tới khi người dùng mệt mỏi bấm nhầm Approve, hoặc bị social-engineer để chấp thuận; number matching cùng các lớp phòng thủ khác vô hiệu hoá kiểu tấn công này.

#mfa#push-fatigue#number-matching#social-engineering
SecurityTrung bình

Phòng thủ Credential Stuffing

Kết hợp rate limiting, kiểm tra mật khẩu đã lộ (breached-password check) và MFA để chặn tấn công dùng lại cặp username/password bị rò rỉ hàng loạt.

#credential-stuffing#rate-limiting#mfa#breached-passwords
SecurityNâng cao

JWT Algorithm Confusion Attack

Attacker đổi header alg của JWT từ RS256 sang HS256 hoặc none, lừa server dùng public key làm khóa HMAC hoặc bỏ qua xác minh chữ ký.

#jwt#alg-confusion#signature-forgery#authentication