--- id: "phishing-005" title: "MFA Fatigue ja Push Bombing: Kaksivaiheisen tunnistautumisen ohittaminen ilman koodimurtoa" description: "Ymmärrä MFA fatigue ja push bombing -hyökkäysten mekanismi. Kouluta organisaatiosi tunnistamaan push-ilmoitusten manipulointi ja torjumaan tietomurrot." canonical: https://startbrain.io/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/ slug: "mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen" date: "2026-10-02" category: "phishing" product: "superphisher" lang: fi author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä" frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001" --- # MFA Fatigue ja Push Bombing: Kaksivaiheisen tunnistautumisen ohittaminen ilman koodimurtoa Kello on 23.42. Organisaationne työntekijä on käymässä nukkumaan, kun älypuhelin värähtää ensimmäisen kerran: Microsoft Authenticator tai Okta pyytää vahvistamaan sisäänkirjautumisen. Työntekijä olettaa kyseessä olevan tekninen häiriö ja jättää ilmoituksen huomiotta. Kaksi minuuttia myöhemmin ruudulle pamahtaa kolme uutta ilmoitusta. Sitten viisi lisää. Jatkuvaan piippaukseen kyllästyneenä ja unensa rauhoittaakseen työntekijä painaa mekaanisesti "Hyväksy". Sekunnin murto-osassa hyökkääjä on päässyt sisään organisaationne tietoverkkoon. Tämä tilanne ei ole fiktiota: juuri tällä toimintatavalla murtauduttiin globaaleihin teknologiayrityksiin ja suuriin infrastruktuureihin viime vuosina. Monivaiheinen tunnistautuminen (MFA) on edelleen välttämätön suoja, mutta se nojaa ihmiseen, jota kyberrikolliset osaavat nyt manipuloida psykologisen uuvuttamisen kautta. CISO:lle, tietoturvajohdolle ja johtoryhmälle tämän uhan purkaminen on kriittinen operatiivinen prioriteetti. --- ## Miten MFA fatigue -hyökkäys toimii ja mikä toimintamalli henkilöstölle tulee opettaa? > **Tiivistelmä: MFA fatigue (push bombing) tarkoittaa hyökkäystä, jossa työntekijän puhelinta pommitetaan jatkuvilla tunnistuspyynnöillä, kunnes hän antaa periksi uupumuksen tai virheen vuoksi. Välttämätön toimintamalli on yksinkertainen: hylkää aina kaikki pyytämättä tulleet ilmoitukset ja ilmoita niistä välittömästi tietoturvatiimille.** **MFA fatigue push bombing** -taktiikka perustuu suoraviivaiseen lähtökohtaan: hyökkääjillä on jo hallussaan kohteen toimivat käyttäjätunnukset ja salasanat, jotka on saatu tietovuodoista, infostealer-haittaohjelmilla tai perinteisellä kalastelulla. Ainoa este pääsylle on toisen tekijän hyväksyntä. Sen sijaan, että hyökkääjä yrittäisi murtaa salausta, hän laukaisee automatisoiduilla scripteillä kymmeniä tai satoja peräkkäisiä kirjautumispyyntöjä. Taktiikka hyödyntää useita psykologisia vipuvarsia: - **Kognitiivinen kuormitus ja uupumus:** Jatkuva äänimerkki ja ruudun vilkkuminen saavat uhrin haluamaan häiriön loppumista mahdollisimman nopeasti. - **Tekninen vahvistusharha:** Monet käyttäjät uskovat virheellisesti, että toistuvat ilmoitukset johtuvat yrityksen taustapäivityksestä tai sähköpostipalvelimen synkronointihäiriöstä. - **Yhdistäminen sosiaaliseen manipulointiin:** Kehittyneissä hyökkäyksissä rikollinen soittaa työntekijälle esiintyen sisäisenä IT-tukena ja kehottaa hyväksymään push-pyynnön "käynnissä olevan tietoturvahyökkäyksen pysäyttämiseksi". Henkilöstön selkäytimeen on iskostettava selkeä sääntö: **MFA-ilmoitus hyväksytään vain silloin, kun käyttäjä on itse aktiivisesti kirjautumassa palveluun juuri sillä hetkellä**. Kaikki tämän tilanteen ulkopuolella saapuvat pyynnöt on käsiteltävä aktiivisina tietoturvapoikkeamina. --- ## Miksi push bombing korvaa perinteisiä hyökkäystapoja? > **Tiivistelmä: Push bombing ohittaa MFA-suojauksen ilman haittaohjelmia tai monimutkaista koodinpurkua. Hyökkääjät hyödyntävät monivaiheisen tunnistautumisen nopeinta mekanismia eli yhtä "Hyväksy"-painallusta, mikä muuttaa käyttömukavuuden vakavaksi tietoturvariskiksi.** Tietoturvatiimit suosivat pitkään push-ilmoituksiin perustuvaa monivaiheista tunnistautumista sen erinomaisen käytettävyyden vuoksi verrattuna tekstiviestikoodeihin tai TOTP-sovelluksiin. Tämä helppous on kuitenkin kääntynyt riskiksi. ### Vahvistuskontekstin puute Perinteisissä MFA-asetuksissa käyttäjä näkee vain kysymyksen: "Oletko tämä sinä? Kyllä / Ei". Ilman maantieteellistä kontekstia tai tarkempaa dataa kiireinen työntekijä napsauttaa "Kyllä" rutiininomaisesti, aivan kuten verkkosivustojen evästeitä hyväksyttäessä. Tämän haavoittuvuuden korjaamiseksi modernit arkkitehtuurit siirtyvät kohti numeroiden täsmäytystä (number matching). Tällöin käyttäjän on syötettävä puhelimeensa tietokoneen näytöllä näkyvä kaksinumeroinen koodi. Vaikka tekninen este pienentää riskiä merkittävästi, se ei korvaa inhimillistä valppautta: hyökkääjät soittavat nykyään suoraan kohteille ja sanelevat syötettävän numeron puhelimessa. Organisaationne kestävyyden varmistamiseksi tarvitaan todellisia toimintamalleja testaavia harjoituksia. Brain Securityn [Super Phisher](/en-us/catalog/super-phisher/) -koulutussimulaattori mahdollistaa henkilöstön altistamisen ajankohtaisille sosiaalisen manipuloinnin menetelmille, jotta reaktiot ja toimintatavat voidaan mitata tositilanteita varten turvallisesti. --- ## Mitkä tekniset ja inhimilliset toimenpiteet torjuvat tämän riskin? Push bombing -hyökkäysten neutralointi vaatii saumatonta yhteistyötä teknisen koventamisen ja henkilöstön valmiuksien kehittämisen välillä. Brain Security suosittelee organisaatioille seuraavaa toimintamallia: - **Aktivoi numeroiden täsmäytys (Number Matching):** Tee pakolliseksi kirjautumisnäytöllä näkyvän dynaamisen koodin syöttäminen mobiilisovellukseen. Etänä toimiva hyökkääjä ei näe tätä koodia ilman suoraa näköyhteyttä ruutuun. - **Rajoita pyyntöjen määrää (Rate Limiting):** Määritä ehdollisen pääsyn säännöt lukitsemaan tili väliaikaisesti, jos käyttäjä hylkää tai jättää huomiotta kolme push-ilmoitusta lyhyen ajan sisällä. - **Rajoita pääsyä kontekstin perusteella:** Estä automaattisesti kirjautumispyynnöt epätavallisista maantieteellisistä sijainneista tai anonymisointiverkoista (kaupalliset VPN-palvelut, Tor-verkot). - **Luo matalan kynnyksen ilmoituskanava:** Työntekijöillä on oltava mahdollisuus raportoida epäilyttävistä ilmoituksista yhdellä klikkauksella ilman pelkoa päivystävän IT-tiimin turhasta vaivaamisesta. - **Siirry FIDO2-turva-avaimiin kriittisissä rooleissa:** Pääkäyttäjille, IT-ylläpidolle sekä johtoryhmän ja taloushallinnon jäsenille kannattaa ottaa käyttöön fyysiset laitteistoavaimet, jotka ovat immuuneja uuvutushyökkäyksille. Kaksivaiheinen tunnistautuminen ei ole taikakalu: sen tehokkuus riippuu suoraan laitetta pitelevän ihmisen tilannetajusta. Yhdistämällä tiukat tekniset kontrollit ja jatkuvan koulutuksen ilmoituspommitus menettää tehonsa. Haluatko testata ja vahvistaa henkilöstösi resilienssiä modernia sosiaalista manipulointia vastaan? [Keskustele asiantuntijoidemme kanssa](/en-us/book-a-demo/) organisaationne tarpeisiin räätälöidystä harjoitusohjelmasta. ### 15 / 30 / 60 / 90-Day Rollout Plan: MFA Fatigue ja Push Bombing: Kaksivaiheisen tunnistautumisen ohittaminen ilman koodimurtoa | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Kognitiivinen kuormitus ja uupumus | Jatkuva äänimerkki ja ruudun vilkkuminen saavat uhrin haluamaan häiriön loppumista mahdollisimman nopeasti. | Miten MFA fatigue -hyökkäys toimii ja mikä toimintamalli… | | **D+30 · Pilot** | Aktivoi numeroiden täsmäytys (Number Matching) | Tee pakolliseksi kirjautumisnäytöllä näkyvän dynaamisen koodin syöttäminen mobiilisovellukseen. Etänä toimiva hyökkääjä ei näe tätä koodia ilman… | Mitkä tekniset ja inhimilliset toimenpiteet torjuvat tämän… | | **D+60 · Rollout** | Tekninen vahvistusharha | Monet käyttäjät uskovat virheellisesti, että toistuvat ilmoitukset johtuvat yrityksen taustapäivityksestä tai sähköpostipalvelimen… | Miten MFA fatigue -hyökkäys toimii ja mikä toimintamalli… | | **D+90 · Audit** | Rajoita pyyntöjen määrää (Rate Limiting) | Määritä ehdollisen pääsyn säännöt lukitsemaan tili väliaikaisesti, jos käyttäjä hylkää tai jättää huomiotta kolme push-ilmoitusta lyhyen ajan sisällä. | Mitkä tekniset ja inhimilliset toimenpiteet torjuvat tämän… | --- ## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut ### Aiheeseen liittyvät artikkelit - **[Smishing : Miten suojata työyhteisö tekstiviestihuijauksilta ja mobiilihyökkäyksiltä?](/fi/kyberturvallisuus/smishing-tekstiviestihuijaukset-tietoturva-koulutus-mobiili/)** (Phishing & Social Engineering) : Opi torjumaan smishing-hyökkäyksiä organisaatiossasi. Ymmärrä mobiililaitteiden riskit ja kouluta henkilöstö tunnistamaan haitalliset tekstiviestit ajoissa. - **[Vishing : Näin kyberrikolliset manipuloivat työntekijöitä puhelimitse](/fi/kyberturvallisuus/vishing-puhelinhuijaukset-tietoturva-it-tuki/)** (Phishing & Social Engineering) : Opi tunnistamaan IT-tukeen ja MFA-vahvistuksiin kohdistuvat vishing-hyökkäykset. Suojaa organisaatiosi tehokkailla toimintamalleilla ja harjoituksilla. - **[Typosquatting ja homoglyfihyökkäykset: Miten opettaa henkilöstö lukemaan URL-osoitteita](/fi/kyberturvallisuus/typosquatting-homoglyfi-url-osoitteet-tietoturva-tunnistaminen/)** (Phishing & Social Engineering) : Opi tunnistamaan typosquatting ja homoglyfihyökkäykset. Valmenna henkilöstö havaitsemaan vaaralliset URL-osoitteet ja torjumaan tietojenkalastelu tehokkaasti. - **[HR ja rekrytointi kyberkohteena: Tunnista haitalliset CV:t ja deepfake-työnhakijat](/fi/kyberturvallisuus/hr-rekrytointi-tietoturva-valeprofiilit-deepfake-ansioluettelot/)** (Industries & Roles) : Suojaa HR-tiimisi saastuneilta ansioluetteloilta, vaarallisilta portfolioilta ja tekoälypohjaisilta deepfake-videotyönhakijoilta. Lue ohjeet. ### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme - **Liittyvä ratkaisu : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiset tietojenkalastelusimulaatiot (Super Phisher): opeta henkilöstö tunnistamaan ja ilmoittamaan huijausviestit. - **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)** - **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)** - **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)** - **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)** --- - https://startbrain.io/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/ - [Français](https://startbrain.io/fr/cybersecurite/fatigue-mfa-push-bombing-authentification/) - [Deutsch](https://startbrain.io/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/mfa-fatigue-push-bombing-security-guide/) - [English (US)](https://startbrain.io/en-us/cybersecurity/mfa-fatigue-push-bombing-bypass-guide/) - [Español](https://startbrain.io/es/cyberseguridad/mfa-fatigue-push-bombing-ataque-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/mfa-fatigue-push-bombing-autenticazione-sicurezza/) - [Nederlands](https://startbrain.io/nl/cybersecurity/mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/fadiga-mfa-push-bombing-contornar-autenticacao/) - [日本語](https://startbrain.io/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/mfa-fatigue-push-bombing-atak-uwierzytelnianie/) - [Svenska](https://startbrain.io/sv/cybersakerhet/mfa-fatigue-push-bombing-guide-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/mfa-fatigue-push-bombing-totrinsgodkendelse-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/mfa-fatigue-push-bombing-sikkerhet-ciso/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/mfa-fatigue-push-bombing-identity-defence-canada/) - [llms.txt](https://startbrain.io/llms.txt)