MFA-Fatigue-Angriffe verhindern: Ein Leitfaden für Anwender und IT-Sicherheit

Ein MFA-Fatigue-Angriff überwindet die Multi-Faktor-Authentifizierung nicht; er wartet darauf, dass eine Person ihn genehmigt. Der Angreifer besitzt bereits ein funktionierendes Passwort und löst wiederholt Push-Benachrichtigungen aus, oft spät in der Nacht, bis der Kontoinhaber auf „Genehmigen“ tippt, um die Störung zu beenden. Zehn Benachrichtigungen pro Minute sind ein häufiges Muster.

Das Design des Angriffs ist eher sozial als technisch, weshalb er Mitarbeiter überlistet, die jeden Phishing-Test bestanden haben. Nichts auf dem Bildschirm ist gefälscht, die Aufforderung stammt tatsächlich vom Identitätsanbieter des Unternehmens, und das einzige falsche Element ist, dass die Person sie nicht selbst initiiert hat. Gänzlich aus dem Video ausgeklammert ist die defensive Konfiguration: Welche Regeln für den bedingten Zugriff durchgesetzt werden, welche Konten ausgenommen sind und welche Sperrschwellenwerte gelten, sollte im Sicherheits-Runbook bleiben und nicht in einem Video, das an alle gesendet wird.

Der Angriff wird in acht Szenen dargestellt: zwei darüber, wie der Angreifer überhaupt an das Passwort gelangt, zwei über die Abfolge der Benachrichtigungen, wie sie der Mitarbeiter erlebt, eine über den oft folgenden Anruf, bei dem sich der Anrufer als IT-Support ausgibt, eine über die korrekte Reaktion, eine darüber, wie man es meldet, und eine darüber, was die Organisation danach unternimmt.