Der Vorfall zeigt, dass grundsätzlich jede Form von 2FA nutzlos gegen Phishing ist.

Da die SMS-2FA kompromittiert wurde, ist automatisch auch das Administratorkonto des Mitarbeiters vollständig kompromittiert, unabhängig vom Prinzip der minimalen Rechte.

FIDO2 hätte den Vorfall nicht verhindert, da auch Sicherheitsschlüssel abfangbare Einmalcodes verwenden.

Ein FIDO2-Schlüssel hätte den Login auf der gefälschten Proxy-Domain verweigert, da die Signatur nur für die echte Domain gültig ist.

Der geplante FIDO2-Rollout schützt gezielt vor Zugangsdaten-Phishing und Session-Diebstahl, ersetzt aber keine anderen Schutzmaßnahmen wie Endpoint-Security gegen Schadsoftware.

Der Vorfall gelang, weil die SMS-2FA nicht kryptografisch an die aufgerufene Domain gebunden ist und der Angreifer Code sowie Sitzungs-Cookie in Echtzeit übernehmen konnte.