MFA Fatigue og Push Bombing : Slik omgås tofaktorautentisering uten hacking

Klokken er 23:42. En nøkkelansatt i virksomheten gjør seg klar til å sove idet smarttelefonen vibrerer på nattbordet. Et push-varsel fra Microsoft Authenticator eller Okta ber om godkjenning for innlogging. Ansatte antar det er en teknisk feil og ignorerer varselet. To minutter senere plinger tre nye varsler inn. Deretter fem til. Frustrert over den gjentatte durante lyden som forstyrrer nattesøvnen, og i den tro at et enkelt trykk vil stoppe den tekniske hikken, trykker medarbeideren mekanisk på «Godkjenn». På et brøkdels sekund har angriperen etablert fotfeste i bedriftens nettverk.

Dette hendelsesforløpet er ikke fiksjon. Det er den nøyaktige metoden som har rammet flere internasjonale og nordiske virksomheter de siste årene. Flerfaktorautentisering (MFA) forblir en uunnværlig grunnmur, i tråd med NSMs grunnprinsipper for IKT-sikkerhet. Likevel hviler systemet på et menneskelig ledd som kriminelle nå utnytter gjennom ren psykologisk utmattelse. For en CISO, IT-sikkerhetssjef eller ledergruppen er nøytraliseringen av denne trusselen en akutt operativ prioritet.

Hvordan fungerer et MFA fatigue-angrep, og hvilken refleks må etableres hos de ansatte?#

Kort oppsummert: Et MFA fatigue-angrep (push bombing) går ut på å oversvømme en ansatt med godkjenningsvarsler på mobilen helt til vedkommende gir etter av irritasjon, tretthet eller forvirring. Hovedregelen er krystallklar: Avvis konsekvent alle uventede push-varsler og rapporter dem umiddelbart til IT-sikkerhetsavdelingen.

Mekanismen bak et push bombing angrep baserer seg på et enkelt faktum: Angriperen har allerede skaffet seg gyldige påloggingsdata (brukernavn og passord hentet via infostealere, datalekkasjer eller målrettet phishing). Den eneste gjenværende barrieren inn i systemet er bekreftelsen av den andre faktoren.

I stedet for å bryne seg på avansert knekking av kryptering, utløser angriperen titalls eller hundrevis av påloggingsforespørsler ved hjelp av automatiserte skript. Taktikken utnytter flere velkjente psykologiske mekanismer:

• Kognitiv overbelastning og slitasje: Den vedvarende strømmen av visuelle og auditive avbrytelser skaper et intenst ønske om å få støyen til å opphøre raskest mulig.
• Teknisk bekreftelsesskjevhet: Mange brukere feiltolker gjentatte varsler som en bakgrunnsoppdatering fra Microsoft 365 eller en e-postserver som synkroniserer data.
• Kombinasjon med vishing: I mer sofistikerte angrep ringer svindlerne direkte til den ansatte på telefon og utgir seg for å være fra intern IT-support, med beskjed om å «godkjenne varselet for å stoppe det pågående dataangrepet».

Prinsippet som må innarbeides i ryggmargen til alle ansatte er ufravikelig: Et push-varsel godkjennes kun dersom medarbeideren selv aktivt initierer en innlogging der og da. Ethvert varsel som dukker opp utenfor denne rammen, skal behandles som en pågående sikkerhetshendelse.

Hvorfor foretrekker trusselaktører push bombing fremfor tradisjonelle metoder?#

Kort oppsummert: Push bombing omgår MFA uten behov for skreddersydd skadevare eller ressurskrevende reverse engineering. Angriperne utnytter den mest friksjonsfrie funksjonen i totrinnsbekreftelsen, det enkle «Godkjenn»-trykket, og gjør brukervennlighet om til en kritisk sårbarhet.

I mange år har IT-avdelinger oppmuntret til overgang mot push-basert MFA, hyllet for god brukeropplevelse sammenlignet med SMS-koder eller TOTP-kodebrikker. Dessverre har denne bekvemmeligheten blitt angripernes foretrukne smutthull.

Fraværet av kontekst ved godkjenning

I standardiserte oppsett ser brukeren ofte bare en melding: «Er dette deg? Ja / Nei». Uten geografisk kontekst eller kryssvalidering trykker en travel eller uoppmerksom medarbeider «Ja» av ren vane, på samme måte som mange ukritisk aksepterer informasjonskapsler i en nettleser.

For å tette dette sikkerhetshullet krever moderne standarder og veiledere fra Nasjonal sikkerhetsmyndighet (NSM) overgang til tallmatching (number matching). Her må brukeren taste inn en tosifret kode på mobilen som vises på innloggingsskjermen. Selv om dette reduserer risikoen markant, fjerner det ikke den menneskelige faktoren fullstendig. Angripere tilpasser seg raskt og ringer nå ofrene for å diktere koden direkte over telefonen.

For å kartlegge hvordan virksomhetens ansatte faktisk reagerer under reelt press, er praktiske tester nødvendige. Vår løsning Super Phisher lar virksomheten simulere slike angrep i kontrollerte former, slik at man kan måle og styrke medarbeidernes årvåkenhet i hverdagen.

Hvilke tekniske og organisatoriske tiltak nøytraliserer risikoen?#

Effektiv beskyttelse mot push bombing krever en samkjørt innsats mellom tekniske kontrolltiltak og sikkerhetskultur. Brain Security anbefaler følgende tiltak for å herde virksomheten:

• Aktiver tallmatching (Number Matching): Gjør det obligatorisk å taste inn en dynamisk kode som vises på kildeskjermen. En ekstern angriper kan ikke gjette koden uten innsyn på skjermen.
• Begrens frekvensen på forespørsler (Rate Limiting): Konfigurer policyer for betinget tilgang (Conditional Access) slik at en brukerkonto låses midlertidig etter for eksempel tre avviste eller ubesvarte push-varsler innen et kort tidsrom.
• Kontekstbasert tilgangskontroll: Blokker innlogginger fra uvanlige geografiske lokasjoner eller kjente anonymiseringstjenester (kommersielle VPN-tjenester og Tor-noder). Dette støtter også etterlevelse av krav i Digitalsikkerhetsloven (NIS 2) og DORA for finansielle aktører under tilsyn av Finanstilsynet.
• Lavterskel rapporteringsrutiner: Etabler enkle rutiner der ansatte med ett klikk kan varsle om mistenkelige hendelser, uten frykt for sanksjoner dersom de kontakter sikkerhetsvaktlaget utenfor arbeidstid.
• Innføring av FIDO2-sikkerhetsnøkler: For roller med utvidede privilegier (systemadministratorer, ledergruppen og styret samt nøkkelpersoner innen økonomi) bør det tas i bruk fysiske FIDO2-sikkerhetsnøkler som er fullstendig immune mot utmattelsesangrep.

Tofaktorautentisering er ikke en garanti alene. Sikkerhetsnivået avgjøres av handlingene til personen som holder enheten. Ved å kombinere solide tekniske barrierer med kontinuerlig og engasjerende opplæring, mister varseltrakassering sin effekt.

Vil du teste motstandskraften i organisasjonen mot moderne sosial manipulering? Ta kontakt med oss for en samtale om hvordan vi kan tilpasse et treningsløp for deres risikoprofil.

BRAIN SECURITY I PRAKSIS · Super Phisher

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Smishing: Slik trener du ansatte mot SMS-angrep og mobil phishing (Phishing & Social Engineering) : Beskytt virksomheten mot smishing og mobil phishing. Lær hvorfor klikkraten er høy på SMS, og bygg sterke sikkerhetsreflekser i tråd med NSM.
• Vishing: Slik manipulerer trusselaktorer ansatte og IT-helpdesk via telefon (Phishing & Social Engineering) : Lær hvordan vishing rammer IT-support og omgår MFA. Beskytt virksomheten mot sosial manipulering i tråd med NSMs grunnprinsipper.
• Typosquatting og homoglyf-angrep: Lær ansatte å lese URL-er riktig (Phishing & Social Engineering) : Lær hvordan du avdekker typosquatting og homoglyf-angrep. Tren ansatte til å analysere falske nettadresser for å stanse phishing effektivt.
• Cybersikkerhet for HR og rekruttering: Avdekk infiserte cver og falske kandidater (Industries & Roles) : Lær hvordan HR og rekrutterere beskytter virksomheten mot infiserte cver, skadelige lenker og deepfake kandidater under jobbintervjuer.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)