由Yubico设计的安全密钥NFC(来源:PCMag)
互联网基础设施提供商Cloudflare表示，多亏了基于硬件的技术，他们阻止了网络钓鱼计划安全密钥发给所有员工。
Cloudflare表示，此次黑客攻击很可能是该公司公开发布的Twilio的短信网络钓鱼计划的一部分披露(在新窗口打开)周一。
Cloudflare在一份声明中写道:“Twilio遭到攻击的同时，我们看到了一次特征非常相似的攻击，也是针对Cloudflare的员工。博客(在新窗口打开)周二。“这是一次针对员工和系统的复杂攻击，我们认为大多数组织都可能被攻破。”
Twilio和Cloudflare现在都警告说，短信钓鱼计划的目标是多家公司的员工。攻击是通过假装来自雇主的短信来进行的。在Cloudflare的案例中，黑客欺骗了三名员工，让他们在虚假的登录表单中输入公司密码。
但即便如此，由于这些原因，攻击者未能攻破Cloudflare安全密钥．与可以在线共享的双因素认证码不同，硬件密钥是一个物理设备。它通常被设计成插入个人电脑的USB驱动器，并在登录过程中增加了一个额外的步骤，这是无法通过数字钓鱼进行的。
在Cloudflare的案例中，这意味着黑客无法入侵，除非他们能从其中一名被钓鱼的员工那里盗取安全密钥。Cloudflare表示:“虽然攻击者试图用泄露的用户名和密码凭据登录我们的系统，但他们无法通过硬密钥要求。”
至少76名Cloudflare员工收到了来自攻击者的短信钓鱼信息。这些信息特别写道:“警报!!您的Cloudflare日程已经更新，请点击cloudfl-okta.com查看您的更改。”然而，cloudfl-okta.com实际上是一个黑客控制的域名，它拥有一个能够窃取密码的假登录页面。
这种网络钓鱼技术也被设计用来挫败双因素认证系统。Cloudflare指出，攻击者的虚假登录页面可以显示一个提示，要求输入基于时间的一次性密码。该公司表示:“员工随后会在钓鱼网站上输入TOTP代码，然后它也会被转发给攻击者。”“然后，攻击者可以在TOTP代码过期之前，使用它访问公司的实际登录页面。”
目前尚不清楚谁是这一短信钓鱼计划的幕后黑手，以及他们是如何获得这么多Cloudflare员工的手机号码的。但Cloudflare的数据显示，攻击者使用的是一台正在运行Windows 10的电脑Mullvad VPN登录失败时。
该公司补充说，自从向所有员工提供硬件安全密钥以来，还没有发生过泄露事件。有关安全密钥如何工作的更多信息，请查看我们的beplay手机官网下载．
