MFA Fatigue e Push Bombing: Aggirare il 2FA Senza Hackerare il Codice

Sono le 23:42. Un tuo dipendente sta per andare a dormire quando il suo smartphone vibra per la prima volta: una notifica di Microsoft Authenticator o Okta richiede di approvare un accesso. Pensando a un bug temporaneo, ignora lo schermo. Due minuti dopo, arrivano altri tre avvisi sonori. Poi altri cinque. Esasperato da questo ronzio continuo che disturba il sonno, e convinto di risolvere un semplice malfunzionamento tecnico del sistema, tocca meccanicamente "Approva". In una frazione di secondo, il criminale informatico è entrato nel perimetro del tuo sistema informativo.

Questo scenario non è affatto un'invenzione: è l'esatto schema operativo che ha consentito di compromettere colossi tech internazionali negli ultimi anni. L'autenticazione a più fattori (MFA) resta una misura indispensabile, ma si fonda su un fattore umano che gli aggressori sanno manipolare facendo leva sul logoramento psicologico. Per un CISO o un IT Manager, comprendere e neutralizzare questa minaccia rappresenta una priorità operativa non negoziabile.

Come funziona un attacco MFA fatigue e quale riflesso insegnare ai collaboratori?#

In sintesi: L'attacco MFA fatigue (push bombing) consiste nell'inondare un utente di richieste di autenticazione sulla sua app mobile fino a farlo cedere per sfinimento o distrazione. La regola operativa fondamentale è categorica: rifiutare sistematicamente qualsiasi notifica non esplicitamente richiesta e segnalarla subito al team di sicurezza.

Il principio alla base dell'attacco MFA fatigue push bombing è lineare: i criminali informatici dispongono già delle credenziali corrette del bersaglio (username e password sottratti tramite malware infostealer, data breach o campagne di phishing mirate). L'unico ostacolo rimasto tra loro e i dati aziendali è la convalida del secondo fattore.

Invece di tentare di forzare algoritmi crittografici, l'attaccante innesca decine, talvolta centinaia di richieste di accesso consecutive tramite script automatizzati. Questa tattica fa leva su dinamiche comportamentali precise:

• Sovraccarico cognitivo ed esaurimento: L'insistenza visiva e acustica induce l'utente a voler interrompere il disturbo nel modo più rapido possibile.
• Bias di spiegazione tecnica: Molti dipendenti associano un flusso continuo di notifiche a un aggiornamento in background del client di posta o a una sincronizzazione dei server interni.
• Integrazione con il social engineering: Nelle varianti più insidiose, il cybercriminale contatta la vittima su WhatsApp o via telefono, fingendosi un tecnico dell'help desk IT e ordinandole di "accettare la notifica push per sbloccare l'anomalia".

Il riflesso da radicare nella cultura aziendale è chiaro: una notifica push di autenticazione deve essere approvata esclusivamente se l'utente sta effettuando attivamente un accesso in quel preciso istante. Qualsiasi richiesta che compaia al di fuori di questo contesto operativo deve essere trattata come un incidente di sicurezza in corso.

Perché il push bombing supera le tecniche di intrusione tradizionali?#

In sintesi: Il push bombing elude l'MFA senza richiedere exploit complessi o attività di reverse engineering. I malintenzionati sfruttano la modalità più rapida dell'autenticazione a due fattori, il semplice tocco su "Approva", trasformando un vantaggio ergonomico in una vulnerabilità critica.

Per anni, i team di sicurezza hanno spinto l'adozione delle notifiche push per la loro comodità rispetto ai codici OTP via SMS o ai generatori TOTP. Tuttavia, questa assenza di frizione operativa è diventata il punto debole su cui gli attaccanti fanno leva.

L'assenza di contesto nella validazione rapida

Nelle configurazioni MFA più elementari, l'utente visualizza soltanto la domanda: "Stai effettuando l'accesso? Sì / No". Privo di indicazioni geolocalizzate o verifiche incrociate, un collaboratore sotto pressione preme "Sì" per abitudine, con la stessa superficialità con cui accetterebbe i cookie su un portale web.

Per contrastare questo vettore, gli standard moderni introducono il number matching (corrispondenza numerica), in cui l'utente deve inserire sullo smartphone un codice a due cifre mostrato sullo schermo del dispositivo che richiede l'accesso. Pur riducendo drasticamente il rischio di approvazione accidentale, questa barriera tecnica non elimina il pericolo: gli aggressori telefonano direttamente alle vittime inducendole a digitare il codice comunicato a voce.

Per misurare la reattività del personale rispetto a manovre di impersonificazione e pressione psicologica, è fondamentale svolgere simulazioni realistiche sul campo. È esattamente questo l'obiettivo del simulatore di campagne di phishing Super Phisher, sviluppato per esporre i team a tattiche moderne di ingegneria sociale e quantificare i progressi in scenari aziendali autentici.

Quali contromisure tecniche e organizzative adottare per disinnescare la minaccia?#

Di fronte al push bombing, la strategia vincente richiede una combinazione tra irrobustimento dell'infrastruttura e formazione attiva del personale. Ecco le raccomandazioni di Brain Security per proteggere la propria organizzazione:

• Implementare la corrispondenza numerica (Number Matching): Rendi obbligatorio l'inserimento del codice visualizzato sulla schermata di origine. L'attaccante remoto non può indovinare la stringa numerica senza accesso visivo.
• Impostare criteri di Rate Limiting: Modifica le policy di accesso condizionale per bloccare temporaneamente l'utenza dopo tre notifiche push respinte o ignorate in un lasso di tempo ristretto.
• Filtrare gli accessi su base contestuale: Intercetta e isola le richieste di autenticazione provenienti da posizioni geografiche anomale o da indirizzi IP associati a nodi Tor e VPN anonimizzatrici.
• Fornire un percorso di segnalazione rapido: Gli utenti devono poter notificare un allarme sospetto con un solo click, senza temere rimproveri per aver allertato i tecnici reperibili.
• Adottare chiavi hardware FIDO2: Per le figure con privilegi elevati (amministratori di sistema, vertici aziendali, operatori finanziari), l'utilizzo di security key fisiche azzera del tutto il rischio di stanchezza da notifica.

L'autenticazione a più fattori non garantisce una protezione assoluta se non è supportata dal fattore umano. Unendo restrizioni tecniche precise a sessioni pratiche di addestramento continuo, i tentativi di saturazione e molestia via push smettono di rappresentare un pericolo per l'azienda.

Desideri valutare la prontezza dei tuoi collaboratori contro gli schemi di ingegneria sociale più recenti? Parlane con i nostri specialisti per definire un piano di allenamento mirato alle tue esigenze operative di sicurezza.

ESPERIENZA OPERATIVA BRAIN SECURITY · Super Phisher

Per approfondire: articoli correlati e soluzioni Brain Security#

Articoli complementari su questo tema

• Smishing: Come sensibilizzare i dipendenti contro gli attacchi via SMS (Phishing e Ingegneria sociale) : Scopri come contrastare lo smishing in azienda. Riconosci la vulnerabilità del mobile e adotta i giusti riflessi di difesa per i team.
• Vishing: come i cybercriminali manipolano i dipendenti al telefono (Phishing e Ingegneria sociale) : Scopri le tecniche di vishing contro l'help desk, la manipolazione MFA e come proteggere l'organizzazione con simulazioni ed esercizi pratici.
• Typosquatting e domini omografi: insegnare ai team a leggere una URL (Phishing e Ingegneria sociale) : Scopri come riconoscere typosquatting e attacchi omografi. Allena i tuoi dipendenti ad analizzare le URL per bloccare sul nascere il phishing.
• Studi legali e società di consulenza: Proteggere il segreto professionale dagli attacchi mirati (Settori e Ruoli) : Scopri perché studi legali e società di consulenza sono nel mirino dei cybercriminali e come difendere i professionisti dal pericolo del spear-phishing.

Scoprire le soluzioni Brain Security sul sito

• Soluzione associata : Super Phisher : Il simulatore di phishing che allena i Suoi team agli attacchi reali, dalla falsa e-mail al QR code trappola, in un quadro controllato che non cattura mai una password.
• Consultare i casi d’uso per obiettivo e settore
• Confrontare i nostri formati di sensibilizzazione cyber e IA
• Esplorare l’intero catalogo interattivo di Brain Security
• Parlare delle vostre esigenze con il nostro team (demo e attivazione)