--- id: "phishing-005" title: "MFA Fatigue en Push Bombing : Tweefactorauthenticatie omzeilen zonder hacken" description: "Begrijp het mechanisme achter MFA fatigue (push bombing) en leer uw medewerkers hoe zij verdachte pushmeldingen direct herkennen en afwijzen." canonical: https://startbrain.io/nl/cybersecurity/mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen/ slug: "mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen" date: "2026-10-02" category: "phishing" product: "superphisher" lang: nl author: "Brain Security · R&D Cyber & Menselijke Factor" frameworks: "NCSC-NL · NIS 2 · DORA · NEN 7510 · AVG · ISO 27001" --- # MFA Fatigue (Push Bombing) : Hoe een aanvaller tweefactorauthenticatie omzeilt zonder code te kraken Het is 23:42 uur. Uw medewerker wil net gaan slapen wanneer zijn smartphone voor het eerst trilt: een melding van Microsoft Authenticator of Okta vraagt om een inlogpoging goed te keuren. In de veronderstelling dat het om een softwarefout gaat, negeert hij het scherm. Twee minuten later volgen drie nieuwe meldingen. Daarna nog eens vijf. Geïrriteerd door het aanhoudende getril dat zijn nachtrust verstoort, en in de hoop de vermeende storing te stoppen, klikt hij werktuiglijk op "Goedkeuren". Binnen een fractie van een seconde heeft de aanvaller toegang tot uw bedrijfsnetwerk. Dit scenario is geen fictie: het is exact de werkwijze waarmee cybercriminelen de afgelopen jaren toonaangevende techbedrijven hebben gecompromitteerd. Meervoudige verificatie (MFA) blijft een onmisbare verdedigingslinie, maar leunt sterk op een menselijke factor die aanvallers doelgericht manipuleren via psychologische uitputting. Voor een CISO of IT-manager is het ontmantelen van deze aanvalstechniek een urgente operationele prioriteit. --- ## Hoe werkt een MFA fatigue-aanval en welke reflex moeten medewerkers aanleren? > **Samenvatting : Een MFA fatigue-aanval (push bombing) bestaat uit het overspoelen van een medewerker met inlogverzoeken op diens mobiele toestel, totdat deze uit vermoeidheid of verstrooidheid bezwijkt. De noodzakelijke reflex is eenvoudig: weiger ieder ongevraagd verificatieverzoek resoluut en meld dit direct bij het securityteam.** Het mechanisme achter een **MFA fatigue push bombing aanval** rust op een helder gegeven: de aanvallers beschikken al over geldige inloggegevens van het doelwit (gebruikersnaam en wachtwoord buitgemaakt via infostealers, datalekken of klassieke phishing). Het enige resterende obstakel is de validatie van de tweede factor. In plaats van complexe encryptie aan te vallen, activeert de cybercrimineel via geautomatiseerde scripts tientallen tot honderden opeenvolgende pushmeldingen. Deze tactiek benut doelgericht meerdere psychologische hefbomen: - **Cognitieve overbelasting en uitputting:** Het aanhoudende visuele en auditieve bombardement dwingt het slachtoffer om de verstoring zo snel mogelijk te willen beëindigen. - **Technische bevestigingsbias:** Veel eindgebruikers veronderstellen dat herhaalde meldingen het gevolg zijn van een automatische update op de achtergrond of een mailserver die synchroniseert. - **Combinatie met social engineering:** In geavanceerde scenario's belt de aanvaller het slachtoffer rechtstreeks op via WhatsApp of telefonie, doet zich voor als interne IT-supportdesk en draagt de medewerker op om "de push te accepteren om de lopende aanval af te slaan". De stelregel die binnen uw organisatie moet gelden, is onverbiddelijk: **een pushmelding voor authenticatie wordt uitsluitend goedgekeurd wanneer de medewerker op exact dat moment zélf een inlogpoging onderneemt**. Ieder verzoek dat buiten deze context opduikt, moet worden behandeld als een actief beveiligingsincident. --- ## Waarom verdringt push bombing traditionele aanvalsmethoden? > **Samenvatting : Push bombing omzeilt MFA zonder dat daar geavanceerde malware of reverse engineering voor nodig is. Aanvallers misbruiken het snelste mechanisme van tweestapsverificatie, de simpele "Goedkeuren"-knop, waardoor gebruiksgemak verandert in een kritiek beveiligingslek.** Jarenlang hebben securityteams het gebruik van pushmeldingen gestimuleerd vanwege het hoge gebruiksgemak ten opzichte van sms-codes of tijdgebaseerde TOTP-apps. Juist die laagdrempeligheid is nu het favoriete doelwit geworden. ### Het ontbreken van context bij validatie Bij een standaard MFA-configuratie krijgt de gebruiker enkel de vraag te zien: "Bent u dit? Ja / Nee". Zonder duidelijke geografische locatie, applicatienaam of IP-context klikt een afgeleide medewerker op de automatische piloot op "Ja", vergelijkbaar met het gedachteloos accepteren van websitecookies. Om dit risico in te dammen, stappen moderne infrastructuren over op *number matching* (nummerovereenkomst). Hierbij moet de gebruiker een tweecijferige code overtypen die op het inlogscherm van de computer verschijnt. Hoewel deze technische drempel het risico aanzienlijk verlaagt, biedt het geen absolute garantie: aanvallers bellen slachtoffers inmiddels op om het benodigde getal direct aan hen te dicteren. Om de weerbaarheid van uw personeel tegen dergelijke impersonatie en psychologische druk te toetsen, zijn realistische simulaties in de praktijk essentieel. Dat is precies de kern van onze phishing-trainingssimulator [Super Phisher](/nl/catalogus/super-phisher/), waarmee u medewerkers confronteert met actuele social engineering-tactieken en hun reacties meet onder realistische omstandigheden. --- ## Welke technische en menselijke maatregelen neutraliseren dit risico? Tegen push bombing is een geïntegreerde aanpak vereist die technische aanscherping combineert met continue medewerkerseducatie. Dit is het actieplan dat Brain Security adviseert om uw organisatie weerbaar te maken: - **Activeer nummerovereenkomst (Number Matching) :** Verplicht het handmatig invoeren van een dynamische code die op het bronscherm wordt weergegeven. Een externe aanvaller kan deze code op afstand niet zien. - **Implementeer verzoeklimieten (Rate Limiting) :** Richt uw conditional access-beleid zo in dat een account tijdelijk wordt vergrendeld na bijvoorbeeld drie geweigerde of genegeerde pushmeldingen binnen een kort tijdsbestek. - **Beperk toegang op basis van context :** Blokkeer inlogverzoeken vanuit ongebruikelijke landen of geanonimiseerde IP-adressen (zoals commerciële VPN-diensten en Tor-knooppunten). - **Creëer een drempelloos meldkanaal :** Zorg dat medewerkers verdachte verificatieverzoeken met één klik kunnen escaleren naar het securityteam, zonder angst voor berispingen over valse alarmen. - **Migreer naar FIDO2-beveiligingssleutels :** Rust accounts met hoge privileges (zoals systeembeheerders, directieleden en financiële teams) uit met fysieke hardwarematige sleutels, die immuun zijn voor fatigue-aanvallen. Tweefactorauthenticatie is geen panacee: de effectiviteit staat of valt met de alertheid van de persoon die het toestel ontgrendelt. Door strikte technische randvoorwaarden te combineren met gerichte trainingsprogramma's, verliest notificatieterreur definitief haar slagkracht. Wilt u de weerbaarheid van uw organisatie tegen geavanceerde social engineering evalueren? [Neem contact met ons op](/nl/afspraak/) om een gericht trainingsprogramma op te zetten dat aansluit op uw beveiligingsuitdagingen. ### 15 / 30 / 60 / 90-Day Rollout Plan: MFA Fatigue en Push Bombing : Tweefactorauthenticatie omzeilen zonder hacken | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Cognitieve overbelasting en uitputting | Het aanhoudende visuele en auditieve bombardement dwingt het slachtoffer om de verstoring zo snel mogelijk te willen beëindigen. | Hoe werkt een MFA fatigue-aanval en welke reflex moeten… | | **D+30 · Pilot** | Activeer nummerovereenkomst (Number Matching) | Verplicht het handmatig invoeren van een dynamische code die op het bronscherm wordt weergegeven. Een externe aanvaller kan deze code op afstand niet… | Welke technische en menselijke maatregelen neutraliseren dit… | | **D+60 · Rollout** | Technische bevestigingsbias | Veel eindgebruikers veronderstellen dat herhaalde meldingen het gevolg zijn van een automatische update op de achtergrond of een mailserver die… | Hoe werkt een MFA fatigue-aanval en welke reflex moeten… | | **D+90 · Audit** | Implementeer verzoeklimieten (Rate Limiting) | Richt uw conditional access-beleid zo in dat een account tijdelijk wordt vergrendeld na bijvoorbeeld drie geweigerde of genegeerde pushmeldingen… | Welke technische en menselijke maatregelen neutraliseren dit… | --- ## Verder lezen: gerelateerde artikelen en oplossingen van Brain Security ### Aanvullende artikelen over dit thema - **[Smishing: Hoe maakt u uw medewerkers weerbaar tegen sms-aanvallen?](/nl/cybersecurity/smishing-train-medewerkers-tegen-sms-aanvallen/)** (Phishing & Social Engineering) : Ontdek hoe u smishing binnen uw organisatie tegengaat. Begrijp mobiele kwetsbaarheden en train uw teams met realistische simulaties. - **[Vishing: Hoe cybercriminelen uw medewerkers en IT-servicedesk telefonisch manipuleren](/nl/cybersecurity/vishing-manipulatie-telefoon-helpdesk-mfa/)** (Phishing & Social Engineering) : Ontdek geavanceerde vishing-technieken gericht op de IT-helpdesk, MFA-manipulatie en hoe u uw teams beschermt met gerichte training. - **[Typosquatting en homoglyfen: Leer medewerkers een URL echt ontleden](/nl/cybersecurity/typosquatting-homoglyfen-url-herkennen-phishing/)** (Phishing & Social Engineering) : Ontdek hoe u typosquatting en homoglyfe domeinen herkent. Train medewerkers in het lezen van URL structuren om phishing effectief te weren. - **[Cyberveiligheid voor HR en Recruitment: Detecteer Kwaadaardige CV's en AI-Spooksollicitanten](/nl/cybersecurity/cyberveiligheid-hr-recruitment-kwaadaardige-cv-deepfake-sollicitanten/)** (Sectoren & Functies) : Ontdek hoe u uw HR-teams beschermt tegen besmette cv's, schadelijke portfolio's en deepfake video-sollicitanten tijdens online interviews. ### Oplossingen van Brain Security op de website ontdekken - **Bijbehorende oplossing : [Super Phisher](/nl/catalogus/super-phisher/)** : De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt. - **[Gebruikssituaties per doelstelling en sector bekijken](/nl/gebruikssituaties/)** - **[Onze formats voor cyber- en AI-bewustwording vergelijken](/nl/vergelijking/)** - **[De volledige interactieve catalogus van Brain Security bekijken](/nl/catalogus/)** - **[Bespreek uw behoeften met ons team (demo en opzet)](/nl/afspraak/)** --- - https://startbrain.io/nl/cybersecurity/mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen/ - [Français](https://startbrain.io/fr/cybersecurite/fatigue-mfa-push-bombing-authentification/) - [Deutsch](https://startbrain.io/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/mfa-fatigue-push-bombing-security-guide/) - [English (US)](https://startbrain.io/en-us/cybersecurity/mfa-fatigue-push-bombing-bypass-guide/) - [Español](https://startbrain.io/es/cyberseguridad/mfa-fatigue-push-bombing-ataque-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/mfa-fatigue-push-bombing-autenticazione-sicurezza/) - [Português](https://startbrain.io/pt/ciberseguranca/fadiga-mfa-push-bombing-contornar-autenticacao/) - [日本語](https://startbrain.io/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/mfa-fatigue-push-bombing-atak-uwierzytelnianie/) - [Svenska](https://startbrain.io/sv/cybersakerhet/mfa-fatigue-push-bombing-guide-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/mfa-fatigue-push-bombing-totrinsgodkendelse-ciso/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/) - [Norsk](https://startbrain.io/no/cybersikkerhet/mfa-fatigue-push-bombing-sikkerhet-ciso/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/mfa-fatigue-push-bombing-identity-defence-canada/) - [llms.txt](https://startbrain.io/llms.txt)