MFA-усталость (push-бомбардировка)

Коротко: При MFA fatigue злоумышленник с украденным паролем заваливает жертву запросами на подтверждение входа, пока та от раздражения или по ошибке не нажмёт «Подтвердить».

Подробнее: Атака обходит двухфакторный вход, нападая не на технику, а на слабость человека. Затронуты методы с простым push-подтверждением.

Подробности

• Порядок: С украденным паролем многократно запускается вход. На телефоне десятки раз появляется «Подтвердить вход?», часто ночью. Дополнительно злоумышленник звонит, выдавая себя за ИТ-поддержку.
• Контрмера «number matching»: Жертва должна ввести в приложении число, показанное на экране входа. Слепого «да» недостаточно.
• Лучше: Устойчивые к фишингу методы, привязанные к настоящему сайту: FIDO2/passkey и ключи безопасности.
• Поведение: Запрос, который вы не запускали, всегда отклонять и менять пароль. Никогда не называть ИТ-поддержке по телефону коды и подтверждения.
• Организация: Ограничение числа попыток, предупреждения о необычных местах, канал сообщения о подозрительных запросах.

См. также: MFA, двухфакторная аутентификация