MFA fatigue
L'attacco in cui chi possiede già la tua password invia richieste di accesso a ripetizione finché non ne approvi una: per errore, per esasperazione o solo per far smettere il telefono di vibrare alle tre di notte.
Presuppone che la password sia trapelata, cosa tutt'altro che rara, e che il secondo fattore sia una semplice notifica push con «approva o rifiuta». Il metodo fu usato nella violazione di Uber del settembre 2022 e in diverse campagne legate a Lapsus$ e 0ktapus, a volte insieme a una telefonata dal finto «supporto IT» che chiede di premere sì. Le contromisure in ordine: number matching, in cui si deve digitare una cifra mostrata nella schermata di login; limitazione del numero di richieste; più contesto nella notifica; e l'unica soluzione completa, i fattori resistenti al phishing come passkey e chiavi FIDO2, dove non c'è alcun pulsante da premere per sbaglio.