Attaque par fatigue MFA
Technique qui consiste à envoyer en rafale des demandes d'approbation d'authentification à la victime, jusqu'à ce qu'elle en accepte une par lassitude ou par erreur ; elle contourne l'authentification multifacteur sans la casser.
L'authentification multifacteur par notification poussée fonctionne ainsi : l'utilisateur saisit son mot de passe, puis reçoit sur son téléphone une demande d'approbation. Si l'attaquant a obtenu le mot de passe, par hameçonnage ou sur un marché de données volées, il lui manque ce second facteur. L'attaque par fatigue consiste à déclencher des dizaines de demandes, parfois en pleine nuit, jusqu'à ce que la victime appuie sur approuver pour faire cesser les alertes, ou par confusion. Elle est souvent combinée à un appel ou à un message se faisant passer pour le support informatique, qui demande d'accepter la notification pour résoudre un problème. Plusieurs intrusions très médiatisées de 2022 dans de grandes entreprises technologiques ont commencé ainsi. La parade est technique et connue : exiger que l'utilisateur tape un code affiché à l'écran plutôt que d'approuver d'un simple clic, limiter le nombre de demandes, afficher la localisation de la connexion, ou passer à des méthodes résistantes à l'hameçonnage, clés physiques et passkeys. Pour le souscripteur, c'est une leçon sur les questionnaires : cocher la case authentification multifacteur ne dit rien de sa robustesse. Les questionnaires récents demandent donc la méthode utilisée, et non plus sa seule présence.
Cas d'école : un comptable reçoit trente notifications d'approbation en une heure, puis un message d'un prétendu technicien qui lui demande d'en valider une pour arrêter le problème. Il s'exécute ; l'attaquant accède à sa messagerie. Au renouvellement, l'assureur exige la correspondance de nombres pour toutes les approbations.
MFA fatigue, push bombing, MFA bombing, prompt bombing
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.