MFA Fatigue og Push Bombing: Omgå totrinsgodkendelse uden at hacke koden

Klokken er 23.42. En medarbejder gør sig klar til at sove, da mobilen pludselig vibrerer: En push-notifikation fra Microsoft Authenticator eller Okta beder om at godkende et login. Medarbejderen antager, at der er tale om en teknisk fejl, og slukker skærmen. To minutter senere bipper mobilen tre gange igen. Så fem gange til. Træt af den uophørlige forstyrrelse midt om natten og i den tro, at det vil stoppe en systemfejl, trykker vedkommende mekanisk på "Godkend". På et splitsekund har angriberen adgang til virksomhedens netværk.

Dette scenarie er ikke fiktion: Det er den præcise fremgangsmåde, der har ført til markante sikkerhedsbrud i globale og nordiske koncerner de seneste år. Multifaktor-godkendelse (MFA) er fortsat et uundværligt bolværk, men teknologien hviler på en menneskelig faktor, som cyberkriminelle nu udnytter via psykologisk udmattelse. For en CISO eller it-sikkerhedsleder er neutraliseringen af denne trussel en presserende operationel prioritet, ikke mindst for at leve op til kravene i NIS 2-loven og standarder som D-mærket.

Hvordan fungerer et angreb med MFA-træthed, og hvilken adfærd skal medarbejderne lære?#

Kort sagt: Et MFA fatigue-angreb (push bombing) går ud på at bombardere en medarbejder med godkendelsesanmodninger på mobilen, indtil vedkommende giver efter af ren udmattelse eller uopmærksomhed. Den afgørende forsvarsrefleks er enkel: Afvis konsekvent alle uopfordrede push-beskeder, og rapportér dem straks til it-sikkerhedsafdelingen.

Princippet bag et MFA fatigue push bombing angreb udspringer af en klar forudsætning: Angriberne er allerede i besiddelse af medarbejderens korrekte legitimationsoplysninger (brugernavn og adgangskode erhvervet via infostealers, datalæk eller klassisk phishing). Den eneste tilbageværende barriere er godkendelsen af den anden faktor.

I stedet for at forsøge at bryde kompleks kryptering udløser angriberen snesevis eller hundredvis af automatiserede loginanmodninger via scripts. Denne taktik udnytter målrettede psykologiske mekanismer:

• Kognitiv overbelastning og udmattelse: Den konstante strøm af lyd og vibrationer stresser offeret, som blot ønsker at få forstyrrelsen til at ophøre med det samme.
• Teknisk bekræftelsesbias: Mange brugere tror fejlagtigt, at gentagne notifikationer skyldes en baggrundsopdatering, en mobilfejl eller synkronisering fra virksomhedens mailserver.
• Kombination med social engineering: I mere avancerede forløb ringer angriberen direkte til medarbejderen på telefon eller WhatsApp, udgiver sig for at være intern it-support eller helpdesk og instruerer offeret i at "godkende det næste push for at stoppe et igangværende angreb".

Den regel, der skal printes ind i organisationens adfærd, er uden undtagelser: En push-notifikation må kun godkendes, hvis medarbejderen selv aktivt er i gang med at logge ind i samme sekund. Enhver anmodning, der opstår uden for denne kontekst, skal behandles som en potentiel sikkerhedshændelse.

Hvorfor vinder push bombing frem fremfor traditionelle angreb?#

Kort sagt: Fordi push bombing omgår MFA uden brug af avanceret malware eller reverse engineering. Angriberne udnytter den hurtigste funktion i totrinsgodkendelse, nemlig det simple klik på "Godkend", og forvandler en brugervenlig funktion til en kritisk operationel sårbarhed.

I årevis har it-afdelinger med rette udrullet push-baseret MFA for at give medarbejderne en mere gnidningsfri oplevelse end SMS-koder eller TOTP-talrækker. Netop denne nemme brugeroplevelse er imidlertid blevet angribernes foretrukne indgangsvinkel.

Manglen på valideringskontekst

I basale MFA-opsætninger ser brugeren blot et simpelt spørgsmål: "Er det dig? Ja / Nej". Uden geografisk kontekst eller krydsvalidering trykker en uopmærksom medarbejder ofte "Ja" af ren vane, på samme måde som man accepterer cookies på en hjemmeside.

For at lukke dette hul migrerer moderne sikkerhedsarkitekturer mod number matching (talsammenligning), hvor brugeren skal indtaste et tocifret tal på telefonen, som vises på computerskærmen ved login. Selvom dette tekniske tiltag reducerer risikoen mærkbart, fjerner det ikke den menneskelige sårbarhed: Angribere ringer nu direkte til medarbejdere og dikterer det tal, der skal tastes.

For at teste og styrke jeres medarbejderes modstandsdygtighed over for denne form for manipulation er praktiske træningsforløb uundværlige. Det er netop formålet med vores træningssimulator Super Phisher, som udsætter medarbejderne for realistiske scenarier inden for social engineering, så organisationen kan måle og styrke adfærden under virkelighedstro forhold.

Hvilke tekniske og menneskelige tiltag modvirker denne risiko?#

Bekæmpelsen af push bombing kræver en kombination af tekniske kontroller og en stærk sikkerhedskultur. Brain Security anbefaler følgende handlingsplan for at sikre jeres infrastruktur:

• Aktivér talsammenligning (Number Matching): Gør det obligatorisk at indtaste den dynamiske kode, der vises på den primære skærm. En fjernangriber kan ikke gætte dette tal uden direkte visuel adgang.
• Begræns antallet af anmodninger (Rate Limiting): Konfigurér politikker for betinget adgang (Conditional Access) til midlertidigt at låse en konto efter tre afviste eller ignorerede push-beskeder inden for et kort tidsrum.
• Kontekstbaseret adgangsstyring: Bloker automatisk anmodninger fra unormale geografiske placeringer eller anonymiserede IP-adresser (kommercielle VPN-tjenester og Tor-netværk), i overensstemmelse med retningslinjerne fra Center for Cybersikkerhed (CFCS).
• Etabler en enkel rapporteringskanal: Medarbejdere skal kunne anmelde mistænkelige notifikationer med ét klik, uden frygt for bebrejdelser over at forstyrre vagtholdet.
• Implementér FIDO2-sikkerhedsnøgler: For privilegerede brugere (systemadministratorer, it-drift samt direktionen og bestyrelsen) anbefales fysiske sikkerhedsnøgler, som er fuldstændig immune over for MFA-træthed.

Totrinsgodkendelse er ikke en ufejlbarlig garanti: Sikkerheden afhænger direkte af den person, der kigger på skærmen. Ved at kombinere stramme tekniske parametre med systematisk træning af medarbejderne mister push-bombardementer deres effekt.

Ønsker I at styrke jeres organisations modstandskraft mod avancerede angreb og social engineering? Book en dialog om jeres behov for at sammensætte et træningsprogram tilpasset jeres risikobillede.

BRAIN SECURITY I PRAKSIS · Super Phisher

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Smishing: Sådan styrker du medarbejdernes forsvar mod SMS angreb (Phishing & Social Engineering) : Lær at beskytte virksomheden mod smishing. Forstå mobile risici, styrk adfærden og modstå målrettede SMS angreb i praksis.
• Vishing: Sådan manipulerer cyberkriminelle jeres medarbejdere og IT-servicedesk over telefonen (Phishing & Social Engineering) : Lær hvordan vishing rammer IT-support og MFA. Styrk organisationens modstandskraft mod social engineering og overhold kravene i NIS2 og D-mærket.
• Typosquatting og homoglyf-angreb: Lær organisationen at afkode en URL (Phishing & Social Engineering) : Lær at gennemskue typosquatting og homoglyf-domæner. Træn medarbejderne i at aflæse URL-adresser og styrk forsvaret mod avancerede phishing-angreb.
• Cybersikkerhed i HR og rekruttering: Spot inficerede CV'er og falske AI-kandidater (Industries & Roles) : Lær hvordan I beskytter jeres HR-team mod ondsindede CV-vedhæftninger, falske profiler og deepfake-kandidater i videointerviews.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)