MFA 疲労攻撃(プッシュ爆撃).

正しいパスワードを得た攻撃者が大量の MFA プッシュ通知を被害者に送りつけ、混乱や面倒さから誤って承認させる攻撃。 サイバーセキュリティの ID とアクセス カテゴリに属します。

正しいパスワードを得た攻撃者が大量の MFA プッシュ通知を被害者に送りつけ、混乱や面倒さから誤って承認させる攻撃。

MFA 疲労攻撃(プッシュ爆撃)は、プッシュ通知ベースの多要素認証を狙います。攻撃者はフィッシングやクレデンシャルスタッフィングで有効なパスワードを得たうえで、繰り返しログインを試み、被害者のスマートフォンに大量のプッシュ承認要求を送ります。被害者は煩わしさから「承認」を押したり、正規通知と誤認したりします。代表例は 2022 年の Uber 侵害と 2022 年の Cisco 侵入で、いずれも Lapsus$ や EXOTIC LILY の手口と関連します。対策はナンバーマッチング、コンテキスト付きプッシュ、レート制限、連続拒否によるブロック、そしてフィッシング耐性のある FIDO2 やパスキーへの移行です。

MFA 疲労攻撃(プッシュ爆撃) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。