Fadiga de MFA
O ataque em que alguém que já tem a sua senha manda pedidos de login repetidamente até você aprovar um — por engano, por irritação, ou só para o celular parar de vibrar às três da manhã.
Pressupõe que a senha já vazou, o que costuma ser o caso, e que o segundo fator é uma notificação push simples com "aprovar ou negar". O método foi usado na invasão da Uber em setembro de 2022 e em várias campanhas ligadas ao Lapsus$ e ao 0ktapus, às vezes combinado com uma ligação de alguém se passando pelo "suporte de TI" pedindo para você apertar "sim". As contramedidas em ordem: number matching, em que você precisa digitar um número mostrado na tela de login; limitação da quantidade de pedidos por período; contexto extra na notificação; e a única solução completa, fatores resistentes a phishing como passkeys e chaves FIDO2, onde simplesmente não existe um botão para apertar errado.