MFA 疲劳攻击(Push Bombing).

攻击者已获得有效密码后,不断向受害者发起 MFA 推送提示,直至对方因困惑或厌烦而误点同意的攻击。 它属于网络安全的 身份与访问 分类。

攻击者已获得有效密码后,不断向受害者发起 MFA 推送提示,直至对方因困惑或厌烦而误点同意的攻击。

MFA 疲劳(又称 push bombing)针对基于推送的多因素认证。攻击者通过钓鱼或撞库获得有效密码后,反复发起登录请求,使受害者手机收到大量推送审批,直至用户点击同意以摆脱骚扰或误以为提示合法。典型案例:2022 年 Uber 数据泄露和 2022 年 Cisco 入侵,二者均与 Lapsus$ 与 EXOTIC LILY 的手法相关。缓解措施包括号码匹配(number matching)、带上下文的推送审批、速率限制、连续拒绝后封锁,以及迁移到抗钓鱼的 FIDO2 或 passkey。

针对 MFA 疲劳攻击(Push Bombing) 的防御通常结合技术控制与运营实践,详见上方完整定义。