Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
MFA prompt bombing, nazywane również MFA fatigue attack, to technika ataku polegająca na masowym generowaniu powiadomień uwierzytelniających do ofiary w celu wymuszenia akceptacji jednej z prób logowania. Atak nie omija samego mechanizmu MFA w sensie technicznym, lecz wykorzystuje słabość modeli opartych na prostym potwierdzaniu żądań push.
W praktyce oznacza to, że organizacja może mieć poprawnie wdrożone uwierzytelnianie wieloskładnikowe, a mimo to pozostać podatna na przejęcie konta. Wystarczy, że napastnik zna już login i hasło użytkownika, a następnie zastosuje presję psychologiczną, znużenie lub dezorientację.
W skrócie
Atak MFA prompt bombing najczęściej wymaga trzech elementów: ważnych poświadczeń, systemu korzystającego z push MFA oraz użytkownika otrzymującego serię próśb o zatwierdzenie logowania. Celem przeciwnika nie jest złamanie drugiego składnika, ale skłonienie ofiary do kliknięcia „zaakceptuj”.
- Napastnik wykorzystuje wcześniej zdobyte hasło.
- System wysyła użytkownikowi kolejne żądania MFA push.
- Ofiara może zaakceptować je przypadkowo lub pod wpływem socjotechniki.
- Po zatwierdzeniu powstaje legalnie wyglądająca sesja użytkownika.
Skuteczność tej techniki rośnie, gdy jest połączona z vishingiem, czyli telefonicznym podszywaniem się pod dział IT, helpdesk lub administratora.
Kontekst / historia
W ostatnich latach MFA stało się podstawowym mechanizmem ograniczania skutków phishingu, reuse haseł i wycieków poświadczeń. Wiele organizacji wdrażało zwłaszcza powiadomienia push, ponieważ były wygodne i przyjazne dla użytkownika.
Problem pojawił się wtedy, gdy wygoda zaczęła działać na korzyść napastników. Jeśli użytkownik widzi jedynie prosty komunikat z pytaniem o zatwierdzenie logowania, decyzja staje się binarna i podatna na manipulację. Seria kolejnych powiadomień może zostać uznana za błąd systemu lub rutynową niedogodność.
Znanym przykładem skuteczności tej techniki był incydent Cisco z 2022 roku. Po zdobyciu hasła pracownika atakujący przeprowadzili kampanię powiadomień MFA i wsparli ją telefonami podszywającymi się pod wsparcie techniczne, co umożliwiło dalsze działania w środowisku ofiary.
Analiza techniczna
Mechanizm ataku jest stosunkowo prosty, co czyni go wyjątkowo niebezpiecznym. Pierwszym krokiem jest pozyskanie prawidłowych danych logowania. Źródłem mogą być wcześniejsze wycieki, credential stuffing, infostealery, słabe hasła lub ponowne użycie tych samych poświadczeń w wielu usługach.
Następnie napastnik próbuje zalogować się do systemu chronionego przez MFA push, takiego jak VPN, portal SSO, platforma IAM czy usługa chmurowa. Każda próba powoduje wysłanie powiadomienia na urządzenie użytkownika. Jeśli takich żądań pojawia się dużo w krótkim czasie, użytkownik może ulec zmęczeniu lub założyć, że powinien zaakceptować jedno z nich, aby „zatrzymać problem”.
W bardziej zaawansowanym scenariuszu dochodzi do vishingu. Napastnik kontaktuje się z ofiarą i przedstawia się jako pracownik IT, tłumacząc, że dla rozwiązania rzekomej awarii trzeba zatwierdzić oczekujące powiadomienie. Taki model jest skuteczny zwłaszcza wtedy, gdy system nie pokazuje szczegółowego kontekstu logowania.
Największą słabością push-only MFA jest właśnie niski poziom kontekstu. Użytkownik często nie widzi wystarczających informacji o lokalizacji, urządzeniu, ryzyku sesji czy celu operacji. Jeżeli rozwiązanie nie stosuje number matching, wiązania z konkretną czynnością ani oceny ryzyka, decyzję można łatwo wymusić socjotechnicznie.
Po zaakceptowaniu żądania napastnik uzyskuje pełnoprawną sesję. Z perspektywy wielu systemów bezpieczeństwa logowanie wygląda legalnie, ponieważ wykorzystano poprawne konto i poprawnie zakończony proces MFA. To może otworzyć drogę do utrzymania dostępu, eskalacji uprawnień, ruchu bocznego i eksfiltracji danych.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem MFA prompt bombingu jest przejęcie tożsamości bez konieczności łamania drugiego składnika. Oznacza to, że sama obecność MFA nie gwarantuje ochrony, jeśli wdrożona metoda opiera się głównie na decyzji użytkownika podejmowanej pod presją.
- Nieautoryzowany dostęp do VPN, poczty i usług SaaS.
- Przejęcie kont uprzywilejowanych lub administracyjnych.
- Dodanie własnych metod MFA albo urządzeń zaufanych.
- Kradzież danych biznesowych i danych osobowych.
- Wykorzystanie przejętego konta do dalszego phishingu wewnętrznego.
- Utrudnione wykrywanie incydentu, ponieważ sesja wygląda na autoryzowaną.
Ryzyko jest szczególnie wysokie w środowiskach, które opierają się wyłącznie na push MFA, nie kontrolują jakości haseł, nie analizują sygnałów ryzyka logowania i nie szkolą pracowników z zakresu vishingu.
Rekomendacje
Najlepszą odpowiedzią na MFA prompt bombing nie jest rezygnacja z MFA, lecz odejście od jego najsłabszych wariantów. Organizacje powinny stopniowo ograniczać modele push-only i przechodzić na metody bardziej odporne na phishing oraz zmęczenie użytkownika.
- Wdrażać klucze bezpieczeństwa FIDO2 i inne metody phishing-resistant MFA.
- Włączać number matching i dodatkowy kontekst przy zatwierdzaniu logowań.
- Blokować hasła znajdujące się w znanych wyciekach oraz wykrywać ich ponowne użycie.
- Stosować polityki dostępu warunkowego oparte na lokalizacji, reputacji IP i stanie urządzenia.
- Monitorować serie odrzuconych lub powtarzanych żądań MFA w krótkim czasie.
- Szkolić użytkowników i helpdesk, że nieoczekiwane powiadomienie MFA może oznaczać aktywny incydent.
Kluczowe znaczenie ma również szybka reakcja operacyjna. Wielokrotne żądania MFA, zwłaszcza połączone z logowaniami z nowych lokalizacji, powinny automatycznie uruchamiać dodatkową weryfikację lub tymczasową blokadę dostępu.
Podsumowanie
MFA prompt bombing pokazuje, że skuteczność uwierzytelniania wieloskładnikowego zależy nie tylko od obecności drugiego składnika, ale także od jego odporności na socjotechnikę. Gdy model bezpieczeństwa opiera się na prostym potwierdzaniu powiadomień push, użytkownik staje się najsłabszym ogniwem procesu.
Dla organizacji oznacza to konieczność wzmacniania ochrony tożsamości na kilku poziomach jednocześnie: jakości haseł, odporności MFA, polityk dostępu warunkowego, monitoringu anomalii oraz edukacji personelu. Dopiero takie podejście pozwala realnie ograniczyć ryzyko przejęcia konta mimo formalnego stosowania MFA.
Źródła
- The Hacker News — MFA Prompt Bombing: Why Your Second Factor Isn’t Saving You — https://thehackernews.com/2026/05/mfa-prompt-bombing-why-your-second.html
- Cisco Talos — Cisco Talos Incident Response Update on August 2022 Cyber Attack — https://blog.talosintelligence.com/recent-cyber-attack/
- Microsoft Security — Defend your users from MFA fatigue attacks — https://techcommunity.microsoft.com/blog/microsoft-entra-blog/defend-your-users-from-mfa-fatigue-attacks/2365677
- CISA — Implementing Phishing-Resistant MFA — https://www.cisa.gov/resources-tools/resources/implementing-phishing-resistant-mfa
- OWASP — Multifactor Authentication Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html