MFA-vermoeidheid
De aanval waarbij iemand die al over het wachtwoord beschikt steeds opnieuw inlogverzoeken stuurt tot er een wordt goedgekeurd — per ongeluk, uit irritatie, of gewoon om de telefoon om drie uur 's nachts stil te krijgen.
De aanval veronderstelt dat het wachtwoord gelekt is, wat vaak het geval is, en dat de tweede factor een eenvoudige pushmelding met "goedkeuren of weigeren" is. De methode werd gebruikt bij de Uber-inbraak van september 2022 en in meerdere campagnes van Lapsus$ en 0ktapus, soms gecombineerd met een telefoontje van de "IT-helpdesk" met het verzoek op ja te drukken. De tegenmaatregelen op volgorde: number matching, waarbij een cijfer van het inlogscherm moet worden ingetypt, het beperken van het aantal verzoeken, extra context in de melding — en de enige complete oplossing, phishing-bestendige factoren zoals passkeys en FIDO2-sleutels, waar geen knop is om verkeerd op te drukken.