Qu'est-ce que la fatigue MFA ?

La fatigue MFA, aussi appelée push bombing, est une attaque contre les comptes qui utilisent des notifications push pour l'authentification multifacteur. L'attaquant a déjà le mot de passe, souvent grâce au phishing ou à une fuite, et déclenche des tentatives de connexion à répétition, si bien que le téléphone de l'utilisateur demande sans cesse une validation, parfois en pleine nuit. La personne finit par valider pour que cela s'arrête, ou un interlocuteur se présentant comme l'informatique l'en convainc. Défenses : passer les validations push à la correspondance de nombres, où l'utilisateur doit saisir un nombre affiché à l'écran de connexion, ce que Microsoft Authenticator applique désormais par défaut ; limiter le nombre de demandes par période ; permettre de signaler une demande inattendue d'un geste ; et faire passer les comptes à risque à des méthodes résistantes au phishing comme les clés de sécurité ou les passkeys. Dites clairement au personnel qu'une demande MFA qu'il n'a pas déclenchée signifie que quelqu'un a son mot de passe, et qu'il doit la refuser et appeler l'informatique.

← Les 29 questions sur Phishing et suites d'un e-mail piégéTous les thèmes