Fatigue MFA Bombardement de notifications
L'attaque où quelqu'un qui possède déjà votre mot de passe envoie des demandes de connexion encore et encore jusqu'à ce que vous en approuviez une — par erreur, par agacement, ou juste pour que ça arrête de vibrer à trois heures du matin.
Elle suppose que le mot de passe a fuité, ce qui arrive souvent, et que le second facteur n'est qu'une simple notification push « approuver ou refuser ». La méthode a été utilisée lors de l'intrusion chez Uber en septembre 2022 et dans plusieurs campagnes liées à Lapsus$ et 0ktapus, parfois combinée à un appel du « support informatique » demandant d'appuyer sur oui. Les parades, dans l'ordre : la correspondance de numéro, où il faut saisir un chiffre affiché sur l'écran de connexion, la limitation du nombre de demandes par unité de temps, davantage de contexte dans la notification — et la seule solution complète, des facteurs résistants au hameçonnage comme les passkeys et les clés FIDO2, où il n'y a tout simplement aucun bouton sur lequel se tromper.