MFA疲労攻撃
すでにパスワードを入手した攻撃者が、承認されるまでログイン要求を送り続ける攻撃。間違えて、苛立ちから、あるいは深夜3時に鳴り続けるスマホを黙らせるために、被害者が承認してしまうのを待つ。
前提となるのはパスワードの漏えい（よくあることだ）と、第二要素が「承認／拒否」のプッシュ通知だけであることだ。2022年9月のUber侵害のほか、Lapsus$や0ktapusに関連する複数の攻撃で使われ、「ITサポート」を名乗る電話で「はい」を押すよう促す手口と組み合わされることもある。対策は、ログイン画面に表示された数字を入力させるナンバーマッチング、要求回数の制限、通知への文脈情報の追加の順になる。完全な解決策は、パスキーやFIDO2キーのようなフィッシング耐性のある要素だけだ。押し間違えるボタンがそもそも存在しないからである。