MFA-втома (push-бомбардування)

Коротко: За MFA fatigue зловмисник із викраденим паролем засипає жертву запитами на підтвердження входу, доки та з роздратування або помилково не натисне «Підтвердити».

Докладніше: Атака обходить дворівневий вхід, нападаючи не на техніку, а на слабкість людини. Зачеплені методи з простим push-підтвердженням.

Подробиці

• Перебіг: З викраденим паролем багаторазово запускається вхід. На телефоні десятки разів з’являється «Підтвердити вхід?», часто вночі. Додатково зловмисник телефонує, видаючи себе за ІТ-підтримку.
• Контрзахід «number matching»: Жертва має ввести в застосунку число, показане на екрані входу. Сліпого «так» недостатньо.
• Краще: Стійкі до фішингу методи, прив’язані до справжнього сайту: FIDO2/passkey і ключі безпеки.
• Поведінка: Запит, який ви не запускали, завжди відхиляти й змінювати пароль. Ніколи не називати ІТ-підтримці телефоном коди та підтвердження.
• Організація: Обмеження кількості спроб, попередження про незвичні місця, канал повідомлення про підозрілі запити.

Див. також: MFA, двофакторна автентифікація