Усталость от MFA (MFA fatigue)
Атака, при которой тот, кто уже знает ваш пароль, шлёт запросы на вход снова и снова, пока вы не подтвердите один — по ошибке, от раздражения или лишь бы телефон перестал вибрировать в три часа ночи.
Она предполагает, что пароль утёк (что случается часто), а второй фактор — простое push-уведомление с кнопками «подтвердить или отклонить». Метод применили при взломе Uber в сентябре 2022 года и в нескольких кампаниях, связанных с Lapsus$ и 0ktapus, иногда в сочетании со звонком от «ИТ-поддержки» с просьбой нажать «да». Меры по порядку: сопоставление номера (нужно ввести цифру с экрана входа), ограничение частоты запросов, дополнительный контекст в уведомлении — и единственное полное решение, устойчивые к фишингу факторы вроде passkeys и ключей FIDO2, где нет кнопки, на которую можно нажать не глядя.