MFA Fatigue och Push Bombing: Kringgå tvåfaktorsautentisering utan att knäcka koden

Klockan är 23:42. En medarbetare ska precis gå och lägga sig när telefonen vibrerar: en pushnotis från Microsoft Authenticator eller Okta ber om att godkänna en inloggning. Medarbetaren antar att det rör sig om en teknisk bugg och ignorerar skärmen. Två minuter senare plingar tre nya förfrågningar in. Därefter fem till. Trött, störd i sömnen och i tron att det bara handlar om att få tyst på ett trilskande system, klickar medarbetaren mekaniskt på "Godkänn". På en bråkdel av en sekund har angriparen klivit rakt in i ert nätverk.

Detta scenario är ingen fiktion: det är det exakta tillvägagångssättet bakom flera uppmärksammade intrång hos globala storföretag på senare år. Flerfaktorsautentisering (MFA) förblir en grundläggande skyddsmur, men tekniken förlitar sig på en mänsklig faktor som cyberkriminella nu manipulerar genom psykologisk utmattning. För en CISO, IT-säkerhetschef eller ledningsgrupp är förståelsen och neutraliseringen av detta hot en akut operativ prioritering.

Hur fungerar en attack med MFA fatigue och vilken reflex måste medarbetarna lära sig?#

Sammanfattning: En attack med MFA fatigue (push bombing) bygger på att dränka en medarbetare i godkännandeförfrågningar via mobilappen tills personen ger efter av ren utmattning eller misstag. Den avgörande reflexen är enkel: neka konsekvent varje opåkallad notis och rapportera händelsen omedelbart till IT-säkerhetsteamet.

Principen bakom MFA fatigue push bombing vilar på ett enkelt faktum: angriparna har redan kommit över giltiga inloggningsuppgifter (användarnamn och lösenord via infostealers, dataläckor eller traditionellt nätfiske). Det enda kvarvarande hindret är valideringen av den andra faktorn.

I stället för att försöka knäcka komplex kryptering skickar angriparen dussintals eller hundratals inloggningsförfrågningar i snabb följd med hjälp av automatiserade skript. Taktiken utnyttjar flera psykologiska drivkrafter:

• Kognitiv överbelastning och utmattning: Det konstanta ljudet och de upprepade aviseringarna pressar offret att vilja få slut på störningen så snabbt som möjligt.
• Teknisk bekräftelsebias: Många användare förutsätter att upprepade notiser beror på bakgrundsuppdateringar eller att mejlklienten synkroniseras mot företagets servrar.
• Kombination med social engineering: I mer avancerade fall ringer angriparen upp medarbetaren via telefon eller appar och utger sig för att vara intern IT-support, med uppmaningen att "godkänna notisen för att stoppa det pågående angreppet".

Regeln som måste förankras i hela organisationen är kompromisslös: en pushnotis för autentisering godkänns endast om användaren aktivt och just nu initierar en inloggning. Varje förfrågan som dyker upp utanför detta sammanhang ska hanteras som en pågående säkerhetsincident.

Varför tar push bombing över från traditionella angreppsmetoder?#

Sammanfattning: Push bombing kringgår MFA utan krav på avancerad skadlig kod eller reverse engineering. Angriparna utnyttjar den snabbaste autentiseringsmekanismen, ett enkelt klick på "Godkänn", vilket förvandlar användarvänlighet till en kritisk operativ sårbarhet.

Under flera år har säkerhetsansvariga förespråkat app-baserad MFA med pushnotiser, tack vare dess smidighet jämfört med SMS-koder eller manuella TOTP-generatorer. Men just denna enkelhet har blivit cyberkriminellas främsta angreppsvinkel.

Bristen på kontext vid godkännande

I grundläggande MFA-konfigurationer ser användaren ofta bara frågan: "Är detta du? Ja / Nej". Utan geografisk kontext eller ytterligare verifiering klickar en stressad medarbetare ofta på "Ja" av ren vana, på samma sätt som man accepterar cookies på en webbplats.

För att motverka denna sårbarhet migrerar moderna IT-miljöer mot number matching (nummerinmatning), där användaren måste knappa in ett tvåsiffrigt nummer på telefonen som visas på datorskärmen. Även om detta tekniska hinder reducerar risken markant eliminerar det inte behovet av vaksamhet: angripare ringer numera upp offren och läser upp numret som ska matas in.

För att utvärdera organisationens motståndskraft mot dessa påtryckningsmetoder krävs verklighetstrogna simuleringar i den dagliga verksamheten. Det är det primära syftet med vår träningssimulator för phishingkampanjer Super Phisher, som låter era medarbetare möta aktuella scenarier inom social engineering och mäter organisationens faktiska reaktionsmönster.

Vilka tekniska och organisatoriska åtgärder krävs för att neutralisera risken?#

För att motstå push bombing krävs en samordnad strategi mellan tekniska skyddsåtgärder och en stark säkerhetskultur. Här är handlingsplanen som Brain Security rekommenderar för att stärka verksamhetens motståndskraft:

• Aktivera nummerinmatning (Number Matching): Gör det obligatoriskt att ange en dynamisk kod som visas på källskärmen. En extern angripare kan inte gissa koden utan visuell tillgång till skärmen.
• Begränsa antalet förfrågningar (Rate Limiting): Konfigurera era villkorsstyrda åtkomstpolicyer (Conditional Access) så att ett konto tillfälligt spärras efter tre nekade eller ignorerade notiser inom ett kort tidsintervall.
• Kontextbaserade åtkomstbegränsningar: Blockera inloggningsförsök från oväntade geografiska platser eller anonymiserade IP-adresser (kommersiella VPN-tjänster och Tor-nätverk).
• Etablera en friktionsfri rapporteringskanal: Medarbetare måste kunna larmrapportera en misstänkt notis med ett enda klick, utan rädsla för kritik om de råkar störa IT-avdelningen i onödan.
• Ersätt pushnotiser med FIDO2-säkerhetsnycklar: För konton med höga behörigheter (systemadministratörer, ledningsgruppen och styrelsen samt ekonomiavdelningen) bör fysiska säkerhetsnycklar prioriteras, då de är helt immuna mot utmattningsattacker.

Flerfaktorsautentisering är ingen magisk sköld i sig: dess styrka beror ytterst på medvetenheten hos den som håller i telefonen. Genom att kombinera strikta tekniska kontroller med kontinuerlig praktisk träning förlorar notisbombning sin kraft.

Vill ni testa hur väl era medarbetare hanterar moderna metoder inom social engineering? Boka en demo och dialog för att utforma en skräddarsydd träningsplan utifrån era säkerhetsbehov.

BRAIN SECURITY I PRAKTIKEN · Super Phisher

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• Smishing: Så utbildar du verksamheten mot SMS-bedrägerier och mobilfiske (Phishing & Social Engineering) : Skydda organisationen mot smishing och mobila cyberhot. Förstå sårbarheterna i mobilen och etablera säkra rutiner för era medarbetare.
• Vishing: Sa manipulerar cyberkriminella er IT-support via telefon (Phishing & Social Engineering) : Upptack hur vishing och rostenparering riktas mot IT-servicedesk och MFA. Skydda organisationen med konkreta rutiner och interaktiv traning.
• Typosquatting och homoglyfattacker: Lär era team att granska en URL (Phishing & Social Engineering) : Lär era medarbetare att avslöja typosquatting och homoglyfdomäner. Bygg ett mänskligt cyberförsvar mot nätfiske och säkra er organisation.
• Cybersäkerhet för HR och rekrytering: Avslöja riggade CV:n och falska AI-kandidater (Industries & Roles) : Lär er skydda HR-avdelningen mot skadliga bilagor, riggade portfolios och falska deepfake-kandidater under digitala anställningsintervjuer.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Super Phisher : Realistiska nätfiskesimuleringar (Super Phisher): träna medarbetare att känna igen och rapportera misstänkta mejl.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)