MFA Fatigue

Serangan ini dimulai setelah kredensial berhasil dicuri, biasanya melalui serangan phishing sebelumnya atau kebocoran data, sehingga penyerang memiliki detail login yang valid namun terhalang oleh faktor autentikasi kedua. Penyerang berulang kali mencoba masuk, menghasilkan aliran notifikasi push di ponsel korban, kadang pada waktu yang tidak nyaman seperti larut malam. Menghadapi gempuran peringatan, sebagian korban menekan setuju hanya untuk menghentikan notifikasi, salah mengira sebagai gangguan sistem, atau percaya bahwa itu permintaan sah dari tim IT.

MFA fatigue penting diwaspadai karena mengalahkan salah satu pertahanan paling banyak diterapkan terhadap pengambilalihan akun, yaitu autentikasi multifaktor, dengan menyasar langkah persetujuan manusia alih-alih kriptografi di baliknya. Kebocoran besar di perusahaan teknologi dan ride-sharing ternama telah dikaitkan dengan teknik ini, menunjukkan bahwa bahkan organisasi dengan sumber daya besar pun tidak kebal. Organisasi mana pun yang menggunakan MFA berbasis push tanpa konteks tambahan terpapar risiko ini, tidak peduli sektor atau ukurannya.

Mitigasi paling efektif adalah beralih dari notifikasi push setujui atau tolak yang sederhana ke number matching, di mana pengguna harus memasukkan kode yang ditampilkan di layar login ke dalam aplikasi, yang mencegah persetujuan tidak sengaja. Membatasi laju percobaan autentikasi dan memberi peringatan kepada tim keamanan atas volume permintaan MFA yang tidak wajar untuk satu akun membantu menangkap serangan yang sedang berlangsung. Karyawan sebaiknya dilatih untuk memperlakukan permintaan MFA yang tidak terduga sebagai sinyal untuk mengganti kata sandi dan segera melaporkan aktivitas tersebut, bukan menyetujui permintaan yang tidak mereka mulai sendiri.