报警电话会被黑客劫持吗
拨打110，接电话的却是骗子？安天移动揭秘“劫持报警电话”病毒原理 | 宅客黑镜头
雷峰网
雷峰网
5年前
今天的宅客“黑镜头”，我们来看一个逆天的诈骗剧本：
1、你收到一条短信，内容是：电子凭证或者单位代号，其中附加了一个链接。你觉得这条短信可能和自己的工作生活相关，于是点击了链接，有一个名为“最高人民检察院”的 App 被安装到了手机上。
2、几天后，你突然接到来自“警方”的电话，对方严厉地警告你：你涉嫌犯罪，需要配合调查，把资金转移到警方的“安全账户”。
3、你表示呵呵，因为你曾经听说过这样的骗局。对方说，你不信的话，我可以帮你转接到“检察院”，你自己来核实。
4、你表示呵呵：“你们转接的电话，我怎么知道是不是打到检察院呢？”对方淡定地说：“没关系，你可以挂掉电话，拨打110查询一下。”
5、你将信将疑，挂断电话并且拨打110，电话接通后，“警方”经过查询，告诉你确！实！存在犯罪嫌疑，你开始方了。
在以上的“戏剧”中，电话那头的人确实是骗子无疑。但是有一点你可能会百思不得姐，那就是：
为神马拨打 110 报警电话，都会接通到骗子那里？
为了解答这个秘密，安天AVL移动安全团队“卧底”调查长达两年时间。揭开了这类伪装成“最高人民检察院”应用的 Android 木马病毒，并且发出了详尽的报告：《病毒四度升级：安天AVL Team揭露一例跨期两年的电信诈骗进化史》
雷锋网宅客频道获得安天AVL移动安全团队授权，转发报告全文如下：
自2014年9月起，安天AVL移动安全团队持续检测到一类基于Android移动平台的间谍类病毒，病毒样本大多伪装成名为“最高人民检察院”的应用。经过反编译逆向分析以及长期的跟踪调查，我们判断这可能是一起有组织的电信诈骗犯罪活动。
2014年9月至今，某诈骗组织持续以涉嫌犯罪为由恐吓受害者，并进行电信诈骗活动。整个诈骗流程大致如下：
攻击者首先向受害者的手机发送含恶意应用下载链接的短信，这一步可能是借由伪基站群发短信实现的；
攻击者通常以获取“案件号”、“单位代号”、“电子凭证”的短信诱骗受害者点击链接，下载安装恶意程序，最终获取受害者手机的root权限；
恶意程序被成功安装到受害者手机后，诈骗者会主动打电话给受害者，并声称将电话转接至检察院确认，但现在大部分人都对这类电信诈骗的防范意识较高，会拒绝对方的电话转接；
此时，诈骗分子会主动要求受害者挂断电话，并亲自拨打110确认事件的真伪。当受害者将电话拨出后，安装在受害人手机中的恶意程序将原本拨打给110的电话，劫持之后转为拨打诈骗者的号码，从而让受害者信以为真，完全落入圈套。
通过AVL移动互联网恶意程序检测平台捕获数据可以看到，该类型病毒样本首次出现在2014年9月。在此后两年时间里，又先后捕获到4类包结构各不相同的病毒新变种样本180余个。这类病毒的感染者主要分布于我国浙江省和广东省，福建、湖北、江西等地也有感染案例。
在该病毒不断进化的进程中，攻击者先后注册了多个CC服务器，相关IP地址16个，服务器分布在香港、新加坡、日本等5个以上的国家和地区。由此我们可以看到攻击者通过不断变换地点等手段来逃避侦查。
恶意行为详情分析
恶意行为实现流程示意图
文章图片1
伪造电子凭证
当恶意应用被成功安装并运行后，受害者手机会显示一个伪造的最高人民检察院发布的电子凭证，恐吓受害者因涉嫌犯罪，而需要接受调查。此时，防范意识薄弱的受害者可能会直接相信对方。即便其他受害者具备足够的防范意识，诈骗者依然有办法逼其就范。那就是劫持受害者手机的报警电话，然后明确告诉受害者可以自行拨打110确认。
以下是伪造的最高人民检察院发布的电子凭证样例。从以下三张电子凭证样例，我们可以看到检察长的签名都是根据现实情况不断更新，说明攻击者最大程度消除受害者对此电子凭证的怀疑，提高电信诈骗的成功率。
文章图片2
劫持报警电话
文章图片3
从以上代码截图可以看到，即使受害者是自行拨打的报警电话，电话那头依然是诈骗者，从而使得受害者信以为真，最终落入攻击者圈套，后果不堪设想。
上图中诈骗分子劫持的目标号码如下：
文章图片4
其中“021110”并非源码中显示的湖北省公安厅，而是上海市公安局。
窃取受害者隐私数据
作为整个电信诈骗链条上的重要一环，该病毒本质是一款间谍件。其功能不仅是显示检察院电子凭证以恐吓欺骗受害者，还在后台窃取用户隐私数据并上传至指定恶意服务器，给受害者的个人利益带来更大损害。
该病毒会开机自动运行，运行后自动生成用于显示电子凭证的activity组件，同时在后台启动用于窃取用户隐私数据的service组件。
该组件service组件首先创建一个名为phoneConfig.db的数据库文件并将其初始化。该数据库主要记录呼出会话和当前配置信息两项数据，其在库中的索引分别为“phoneCall”和“config”。当数据库数据需要更新时，程序会删除旧表并重新创建和初始化数据库。该数据库可以在/data/data对应应用包目录下找到。具体的数据库表内容如下图所示。
当然，这远不是该间谍应用要盗取的全部隐私数据。接下来，它会使出浑身解数获取受害者设备上的各类数据，并将它们写入JSON保存起来。
通过分析反编译代码，我们总结该病毒意图盗取的数据种类如表1所示。
文章图片5
上传受害者隐私数据
获取到受害者的隐私数据后，下一步攻击者会通过联网将其上传至服务器。这一部分主要是在应用/lib/armeabi文件目录下的libjpomelo.so动态库文件中实现的。
该间谍件通过与远程服务器建立HTTP连接完成隐私数据上传的行为。具体过程如下图所示。
文章图片6
文章图片7
至此，隐私数据上传完成，受害者手机隐私数据完全掌握在攻击者手中。
病毒变种进化历史
一、萌芽期（2014.9~2014.11）
· 更多的是一些尝试性的攻击
· 该阶段存在两类初代病毒样本，均已具备劫持报警电话的恶意行为
· 作为间谍件窃取数据种类少，功能单一，基本不具备对抗性
二、平稳期（2015.3~2015.8）
· 主要功能仍是劫持报警电话
· 在其中一类初代病毒的基础上做了初步对抗
· 增加窃取数据的种类
三、一次活跃期（2015.9~2016.2）
· 病毒感染量激增
· 犯罪分子新注册多个海外服务器域名
· 病毒新变种的对抗性大幅增强
四、二次活跃期（2016.11至今）
· 病毒感染量呈明显上升趋势
· 几代变种的样本均有发现，情况更为复杂
· 最新型的病毒变种对抗性再次增强
第一阶段：萌芽期（2014.9~2014.11）
在电信诈骗的萌芽期同时活跃着两种类型的病毒变种，它们都具有劫持电话号码以及窃取用户个人数据的行为。其区别在于攻击受害用户设备后获取隐私数据的手段不同。
第一种类型：
以样本
7692A28896181845219DB5089CFBEC4D为例，该变种主要窃取用户的短信数据。它会设置接收器专门用于监听收到新消息的事件，一旦有来信则立即获取其发信方电话号码以及短信内容，并转发至指定号码。
第二种类型：
以样本
4AD7843644D8731F51A8AC2F24A45CB4为例，该变种的窃取对象不再局限于短信，而是拓展至被攻击设备的固件信息、通讯运营商信息等。另外该变种还会检视设备的响铃模式并私自将其调为静音。
就窃取受害用户隐私数据的手段以及窃取的数据种类而言，第二类变种是后续阶段其他病毒变种的元祖。
综合这一阶段的病毒样本，我们发现，不论采用哪种方式获取来自受攻击设备的信息，其对抗性都较弱，对一些容易暴露自己的数据基本没有保护。比如我们从中挖掘到的一些短信转发地址以及远程服务器IP地址和端口号等信息，都是直接以明文形式硬编码在程序中的，很容易被反编译逆向分析，也难逃手机安全软件的查杀。
第二阶段：平稳期（2015.3~2015.8）
该阶段是诈骗的平稳期，或者也可以称为低潮期。这一阶段的攻击表现得不是很活跃。可以理解为诈骗分子的攻击欲望有所衰减，或是蓄势发起新一轮攻击。总体而言，病毒量明显减少。
至于阶段样本中存在的一些新变种，多是在萌芽期第二种类型病毒变种的基础上进行结构形态上的改变，同时采用了代码混淆技术，做了初步的对抗。但其在具体功能上几乎没有发生任何改变。
第三阶段：一次活跃期（2015.9~2016.2）
这一阶段与上一阶段有着明显的分界线。2015年9月1日，手机卡实名制的法规正式开始施行。手机号码与个人身份证绑定，这就意味着攻击者难以再通过短信转发的手段获取受害者的隐私数据，因为攻击者手机号的暴露极大地增加了攻击者被追踪到的风险。
因此，2015年10月以后捕获到的病毒新变种中，短信转发用到的手机号码以及一些指定的短信内容不再直接出现于程序代码中，而是通过联网从远程服务器端下载并解析获取。
从病毒功能上看，该阶段与上一阶段没有太大变化，仍是以劫持电话号码及窃取用户隐私数据为主。
但是攻击范围在本阶段达到了前所未有的高峰。一方面，病毒的感染量激增，病毒样本层出不穷；另一方面，之前恶意服务器几乎都设置在香港，这一阶段陆续出现了韩国、新加坡、日本等新的地点。我们可以推测这是攻击者在为更大规模的电信诈骗做准备，同时更好地隐匿自身踪迹，逃避侦查。这次攻击高峰直至次年2月才逐渐平息。
第四阶段：二次活跃期（2016.11至今）
第一次活跃期过后，诈骗犯罪活动又历经了半年多的平稳期。在这期间，病毒样本数量虽有明显减少，但仍可持续捕获。病毒样本功能未发生较大变化。
直到今年11月上旬，该病毒攻击再次进入活跃期。从新一轮攻击中捕获到的样本来看，该病毒一部分沿用了上一阶段的变种，有些加入了新的对抗机制。另一部分则采用了新型变种，将窃取数据上传服务器的功能实现从Java层转移至SO动态链接库，攻击所需的资料更多是通过从远程服务器下载获取。攻击的危险性与不确定性都有所增强，同时也进一步增加了安全检测和逆向分析的难度。
从本阶段的攻击规模来看，仅11月8日至13日不到一周的时间里，我们就捕获到了35个病毒样本。
截至11月13日，该病毒样本日均捕获量近6个，诈骗活动仍在持续。
文章图片8
文章图片9
远程服务器IP溯源
对远程服务器进行溯源分析，我们可以发现服务器大多分布在香港，并在后期扩散至韩国、日本、美国等国家和地区。通过将获取到的IP地址在WHOIS和VT等第三方数据源进行信息反查，得到如下表所示的结果。特别地，这些归属地只是诈骗分子利用的服务器所在地。
文章图片10
注：表中数据来自相关IP在whois.net及virustotal.com的查询结果
总结
通过对该病毒的详细分析，我们发现该病毒迄今已使用了6种不同形态的木马。除去最开始可能用作测试的一种，其它的按照结构、功能等指标大致可以分为四代。早期的木马基本不具备对抗行为，包括短信转发地址的电话号码和隐私数据上传的服务器IP等皆明文硬编码在程序中，较容易被分析追踪和查杀。到2015年9月1日，手机卡实名制正式开始实施，这意味着攻击者信息更容易被侦查。
就在同年10月，病毒新变种开始采取混淆等对抗手段隐藏攻击者信息，短信发送地址及短信内容等数据也转而通过从服务器下载获取。到2016年11月，病毒将窃取数据上传服务器的功能实现部分从Java层转移至SO动态链接库，攻击所需的资料更多是从远程服务器下载获取，攻击的危险性与不确定性都有所增强，在一定程度上增加了安全监测和逆向分析的难度。综合来看，该电信诈骗持续的周期较长（持续2年以上），攻击手段不断变换。我们可以推断犯罪分子可能为混迹在港台地区的诈骗组织，具有高度的组织化，其诈骗行为极端恶劣，需要引起足够重视。
另外，纵观至今的诈骗活动周期，高峰往往起始于每年年末（9~11月）并结束于次年年初（2月左右），说明年终岁末通常是电信诈骗的高发期。时值年关，广大手机用户务必当心，谨防受骗。
安全建议
针对这类恶意
apt是什么意思？
apt指APT攻击。
APT攻击，即高级可持续威胁攻击,也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。这种攻击活动具有极强的隐蔽性和针对性,通常会运用受感染的各种介质、供应链和社会工程学等多种手段实施先进的、持久的且有效的威胁和攻击。
入侵方式
APT入侵客户的途径多种多样，主要包括以下几个方面。
一、以智能手机、平板电脑和USB等移动设备为目标和攻击对象继而入侵企业信息系统的方式。
二、社交工程的恶意邮件是许多APT攻击成功的关键因素之一，随着社交工程攻击手法的日益成熟，邮件几乎真假难辨。从一些受到APT攻击的大型企业可以发现，这些企业受到威胁的关键因素都与普通员工遭遇社交工程的恶意邮件有关。黑客刚一开始，就是针对某些特定员工发送钓鱼邮件，以此作为使用APT手法进行攻击的源头。
三、利用防火墙、服务器等系统漏洞继而获取访问企业网络的有效凭证信息是使用APT攻击的另一重要手段。
总之，高级持续性威胁(APT)正在通过一切方式，绕过基于代码的传统安全方案(如防病毒软件、防火墙、IPS等)，并更长时间地潜伏在系统中，让传统防御体系难以侦测。
微软员工意外泄露内部敏感登录凭据，这会给微软带来哪些影响？
微软员工意外泄露内部敏感登录凭据，这会给微软带来哪些影响首先是造成了恶性的商业竞争，其次就是造成了微软的重要数据被泄露，再者就是微软内部的很多员工的信息被泄露，另外就是会遭受到一些黑客的攻击，需要从以下四方面来阐述分析微软员工意外泄露内部敏感登录凭据，这会给微软带来哪些影响。
一、造成了恶性的商业竞争
首先就是造成了恶性的商业竞争 ，对于微软而言之所以泄露了对应的数据信息会造成一些恶性的商业竞争就是竞争对手在得知了对应的数据之后客户可以结合实际情况来让微软的发展受到一些不利的影响。
二、造成了微软的重要数据被泄露
其次就是造成了微软的重要数据被泄露 ，对于微软而言重要的数据一旦被泄露出去那么微软自身的发展就会收到潜在的风险，这样子微软的软件工程师就需要集中加强对于微软系统的保护。
三、微软内部的很多员工的信息被泄露
再者就是微软内部的很多员工的信息被泄露 ，对于微软内部户的很多员工而言如果信息被泄露了那么对于员工的发展也是非常不利的，可能经常会接到一些骚扰电话或者诈骗电话。
四、会遭受到一些黑客的攻击
另外就是会遭受到一些黑客的攻击 ，对于一些黑客而言如果获得了对应的数据他们会以此为切入点来寻找一个破解的突破口来解决对应的问题，这样子微软会受到很多不明的攻击。
微软应该做到的注意事项：
应该加强多渠道的合作，并且完善微软的一个企业制度，同时需要不断的让微软内部的工作人员严格遵守内部的一些规章制度。
黑客攻击种类
虽然黑客攻击的手法多种多样，但就目前来说，绝大多数中初级黑客们所采用的手法和工具仍具有许多共性。从大的方面来划分的话，归纳起来一般不外乎以下几种：
1. 网络报文嗅探
网络嗅探其实最开始是应用于网络管理的，就像远程控制软件一样，但随着黑客们的发现，这些强大的功能就开始被客们利用。最普遍的安全威胁来自内部，同时这些威胁通常都是致命的，其破坏性也远大于外部威胁。其中网络嗅探对于安全防护一般的网络来说，使用这种方法操作简单，而且同时威胁巨大。很多黑客也使用嗅探器进行网络入侵的渗透。网络嗅探器对信息安全的威胁来自其被动性和非干扰性，使得网络嗅探具有很强的隐蔽性，往往让网络信息泄密变得不容易被发现。
嗅探器是利用计算机的网络接口，截获目的计算机数据报文的一种技术。不同传输介质的网络的可监听性是不同的。一般来说，以太网被监听的可能性比较高，因为以太网是一个广播型的网络；FDDI Token被监听的可能性也比较高，尽管它不是一个广播型网络，但带有令牌的那些数据包在传输过程中，平均要经过网络上一半的计算机；微波和无线网被监听的可能性同样比较高，因为无线电本身是一个广播型的传输媒介，弥散在空中的无线电信号可以被很轻易的截获。
嗅探器工作在网络的底层，把受影视的计算机的网络传输全部数据记录下来。虽然嗅探器经常初网管员用来进行网络管理，可以帮助网络管理员查找网络漏洞和检测网络性能、分析网络的流量，以便找出所关心的网络中潜在的问题。但目前却在黑客中的应用似乎更加广泛，使人们开始对这类工具敬而远之。
2. IP地址欺骗
IP地址欺骗攻击是黑客们假冒受信主机（要么是通过使用你网络IP地址范围内的IP，要么是通过使用你信任，并可提供特殊资源位置访问的外部IP地址）对目标进行攻击。在这种攻击中，受信主机指的是你拥有管理控制权的主机或你可明确做出“信任”决定允许其访问你网络的主机。通常，这种IP地址欺骗攻击局限于把数据或命令注入到客户/服务应用之间，或对等网络连接传送中已存在的数据流。为了达到双向通讯，攻击者必须改变指向被欺骗IP地址的所有路由表。
IP地址攻击可以欺骗防火墙，实现远程攻击。
以上介绍的报文嗅探，IP欺骗的攻击者不限于外部网络，在内部网络中同样可能发生，所以在企业网络内部同样要做好相关防御措施。
3. 密码攻击
密码攻击通过多种不同方法实现，包括蛮力攻击（brute force attack），特洛伊木马程序，IP欺骗和报文嗅探。尽管报文嗅探和IP欺骗可以捕获用户账号和密码，但密码攻击通常指的反复的试探、验证用户账号或密码。这种反复试探称之为蛮力攻击。
通常蛮力攻击使用运行于网络上的程序来执行，并企图注册到共享资源中，例如服务器。当攻击者成功的获得了资源的访问权，他就拥有了和那些账户被危及以获得其资源访问权的用户有相同的权利。如果这些账户有足够夺得特权，攻击者可以为将来的访问创建一个后门，这样就不用担心被危及用户账号的任何身份和密码的改变。
4. 拒绝服务攻击
拒绝服务（Denial of Service，DoS）攻击是目前最常见的一种攻击类型。从网络攻击的各种方法和所产生的破坏情况来看，DoS算是一种很简单，但又很有效的进攻方式。它的目的就是拒绝你的服务访问，破坏组织的正常运行，最终使你的网络连接堵塞，或者服务器因疲于处理攻击者发送的数据包而使服务器系统的相关服务崩溃、系统资源耗尽。
DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。DoS攻击的基本过程：首先攻击者向服务器发送众多的带有虚假地址的请求，服务器发送回复信息后等待回传信息。由于地址是伪造的，所以服务器一直等不到回传的消息，然而服务器中分配给这次请求的资源就始终没有被释放。当服务器等待一定的时间后，连接会因超时而被切断，攻击者会再度传送新的一批请求，在这种反复发送伪地址请求的情况下，服务器资源最终会被耗尽。
这类攻击和其他大部分攻击不同的是，因为他们不是以获得网络或网络上信息的访问权为目的，而是要使受攻击方耗尽网络、操作系统或应用程序有限的资源而崩溃，不能为其他正常其他用户提供服务为目标。这就是这类攻击被称之为“拒绝服务攻击”的真正原因。
当涉及到特殊的网络服务应用，象HTTP或FTP服务，攻击者能够获得并保持所有服务器支持的有用连接，有效地把服务器或服务的真正使用者拒绝在外面。大部分拒绝服务攻击是使用被攻击系统整体结构上的弱点，而不是使用软件的小缺陷或安全漏洞。然而，有些攻击通过采用不希望的、无用的网络报文掀起网络风暴和提供错误的网络资源状态信息危及网络的性能。
DDoS（Distributed Denial of Service，分布式拒绝服务）是一种基于DoS的特殊形式的分布、协作式的大规模拒绝服务攻击。也就是说不再是单一的服务攻击，而是同时实施几个，甚至十几个不同服务的拒绝攻击。由此可见，它的攻击力度更大，危害性当然也更大了。它主要瞄准比较大的网站，象商业公司，搜索引擎和政府部门的Web站点。
要避免系统遭受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护整个系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS攻击，同时强烈建议网络管理员定期查看安全设备的日志，及时发现对系统存在安全威胁的行为。
具体的防火墙如何防御拒绝服务攻击的方法将在本书第三章详细介绍。
5. 应用层攻击
应用层攻击能够使用多种不同的方法来实现，最平常的方法是使用服务器上通常可找到的应用软件（如SQL Server、Sendmail、PostScript和FTP）缺陷。通过使用这些缺陷，攻击者能够获得计算机的访问权，以及该计算机上运行相应应用程序所需账户的许可权。
应用层攻击的一种最新形式是使用许多公开化的新技术，如HTML规范、Web浏览器的操作性和HTTP协议等。这些攻击通过网络传送有害的程序，包括JAVA applet和Active X控件等，并通过用户的浏览器调用它们，很容易达到入侵、攻击的目的。虽然微软公司前段时间提供的代码验证技术可以使用户的Active X控件因安全检查错误而暂停这类攻击，但攻击者已经发现怎样利用适当标记和有大量漏洞的Active X控件使之作为特洛伊木马实施新的攻击方式。这一技术可使用VBScript脚本程序直接控制执行隐蔽任务，如覆盖文件，执行其他文件等，预防、查杀的难度更大。
在应用层攻击中，容易遭受攻击的目标包括路由器、数据库、Web和FTP服务器和与协议相关的服务，如DNS、WINS和SMB。
多因素身份验证的凭证包括哪几项
您可能了解过多因素身份验证 (MFA)，或者 (如果您是一个有安全意识的消费者) 经常使用多因素身份验证登录应用程序客户端。您也许知道 MFA 通常比简单地使用用户名和密码登录更安全。但是，当设计自己的应用程序时，什么时候才合适部署 MFA 呢 ？
MFA 部署
MFA 是一种验证用户身份的方法，它要求用户提供多条身份验证的信息。这种方法提供了附加的安全层，减少了账户被盗取的可能性。MFA 通常需要以下两个或更多的因素:
内容: 用户知道的内容，比如密码。
所有物: 用户拥有的东西，如移动设备。
生物因素: 用户的独特属性，例如指纹。
在典型的 MFA 部署中，用户首先使用用户名-密码组合登录应用程序。如果有效，则提示他们输入 MFA。这通常需要通过应用程序的认证，或者短信发送的一次性密码在手机上完成。其他形式的 MFA 需要硬件设备，如 Yubikey，以及特定平台的身份验证器，如苹果产品中的 Touch ID 和 Face ID。
采用 MFA 的一个重要原因是安全问题的出现。数据泄露越来越常见，大量用户名和密码被泄露，安全性变得越来越重要。2019年，29%的数据泄露与凭证被盗有关，1.5%的网络登录与凭证入侵有关。
此外，许多人在不同在线账户上重复使用相同的密码。根据 TeleSign 的数据，71%的账户使用与其他网站相同的密码。攻击者盗取一次数据就能获得大量被破坏的凭证，并在其他站点上测试所有的用户名-密码组合，使用相同的密码盗取帐户。这种类型的攻击称为凭证填充攻击。
MFA 是防止账户被盗取最好的方法之一，无论凭证填充攻击或其他攻击。攻击者如果想要破坏受 MFA 保护的帐户，那他们不仅需要盗取凭证，还需要验证额外附加的因素。 MFA 极大地增加了攻击者入侵帐户所需的时间和精力，这样他们就很难进行大规模的攻击活动。
MFA 行业用例
如果用户访问任何在线信息都需要通过 MFA，那么这很可能会降低使用体验。 这篇将说明，是否采用 MFA 的决定取决于具体的用例，比如特定垂直领域的欺诈和身份盗窃情况的严重程度。对于我们的客户来说，不能简单地因为安全性就决定采用 MFA 的。
通常，我们看到在处理敏感数据的行业 (如保险和银行) 倾向于使用 MFA。这些垂直领域没有额外的身份层，所以对 MFA 的需求迫切。
从行业更广泛的角度来看，MFA 在 B2B 场景中比 B2C 需要更多。这是因为随着法律法规的变化，B2B企业对于身份安全的需求也在不断变化。例如，一个企业旅游公司向政府销售其企业旅游 B2B SaaS 解决方案，以满足其员工的旅游需求。政府需要来自商旅供应商 (包括 MFA) 严格的安全流程，因此他们选择采用 MFA。政府不会关心企业的员工的是否需要进行重复登录，而更加关心身份窃取和通过失窃的数据攻击他们的系统 (尽管用户可能在第一次登录到公司的内部门户时需要 MFA，但是随后在所有内部应用程序中可以直接使用 SSO 登录)。
0条大神的评论