Fadiga de MFA: Ataques de bombardeio de notificações e como impedi-los

Você já ouviu falar de fadiga de MFA ou ataques de bombardeio de notificações? Se não, continue lendo e Saiba mais sobre essa nova tática e como os cibercriminosos a utilizam.Dessa forma, você saberá o que fazer caso passe pela experiência desagradável de ser vítima de um ataque de fadiga por MFA (Avaliação Multifatorial).

Fadiga MFA: Em que consiste um ataque de fadiga MFA?

A autenticação multifator, ou MFA, tem sido usada com sucesso para fortalecer a segurança digital há algum tempo. Ficou claro que As senhas sozinhas já não oferecem proteção suficiente.Agora é essencial adicionar uma segunda (e até mesmo uma terceira) camada de verificação: um SMS, uma notificação push ou uma chave física.

A propósito, você já habilitou a autenticação multifator em suas contas de usuário? Caso não esteja muito familiarizado com o assunto, você pode ler o artigo. É assim que funciona a autenticação em duas etapas, que você deve ativar agora para melhorar sua segurança.No entanto, embora represente uma medida extra muito eficaz, O MFA não é infalível.Isso ficou muito claro com os recentes ataques de fadiga de MFA, também conhecidos como ataques de bombardeio de notificações.

O que é a Fadiga de MFA? Imagine a seguinte cena: é tarde da noite e você está relaxando no sofá assistindo ao seu programa favorito. De repente, seu smartphone começa a vibrar insistentemente. Você olha para a tela e vê uma notificação atrás da outra: «Você está tentando fazer login?"Você ignora o primeiro e o segundo; mas A mesma notificação continua chegando: dezenas delas! Num momento de frustração, só para fazer a martelada parar, você aperta "Aprovar".

Como funciona o ataque de bombardeio de notificações

Você acaba de sofrer um ataque de fadiga de MFA. Mas como isso é possível?

1. De alguma forma, o cibercriminoso obteve seu nome de usuário e senha.
2. Próximo, tenta repetidamente fazer login em algum serviço que você utiliza. Naturalmente, o sistema de autenticação envia uma notificação push para seu aplicativo MFA.
3. O problema surge quando o atacante, usando alguma ferramenta automatizada, Isso gera dezenas ou até centenas de tentativas de login em apenas alguns minutos..
4. Isso faz com que seu celular seja bombardeado com notificações solicitando aprovação.
5. Na tentativa de interromper a avalanche de notificações, você clica em "Aprovar" E pronto: o invasor assume o controle da sua conta.

Por que é tão eficaz?

O objetivo do MFA Fatigue não é superar a tecnologia em inteligência. Em vez disso, busca-se... Esgote sua paciência e seu bom senso.Pensando bem, o fator humano é o elo mais fraco na corrente que protege sua segurança. É por isso que a enxurrada de notificações é projetada para sobrecarregá-lo, confundi-lo, fazê-lo hesitar… até que você aperte o botão errado. Basta um clique.

Um dos motivos pelos quais a fadiga por MFA é tão eficaz é que Aprovar uma notificação push é incrivelmente fácil.Basta um toque, e muitas vezes nem é preciso desbloquear o telefone. Às vezes, essa pode ser a solução mais simples para restaurar o funcionamento normal do aparelho.

E tudo piora se O atacante entra em contato com você fingindo ser alguém do suporte técnico.É provável que ofereçam "ajuda" para tentar resolver o "problema", insistindo para que você aprove a notificação. Foi o que aconteceu em um ataque contra a Microsoft em 2021, no qual o grupo atacante se fez passar pelo departamento de TI para enganar a vítima.

Fadiga de MFA: Ataques de bombardeio de notificações e como impedi-los

Então, existe alguma maneira de se defender da fadiga da autenticação multifator? Sim, felizmente, existem boas práticas que funcionam contra a sobrecarga de notificações. Elas não exigem o fim da autenticação multifator, mas sim... implementá-lo de forma mais inteligenteAs medidas mais eficazes estão listadas abaixo.

Nunca, jamais aprove uma notificação que você não solicitou.

Não importa o quão cansado ou frustrado você esteja, Você nunca deve aprovar uma notificação que não solicitou.Esta é a regra de ouro para evitar qualquer tentativa de enganá-lo e levá-lo à fadiga da autenticação multifator (MFA). Se você não estiver tentando acessar um serviço, qualquer notificação de MFA é suspeita.

A este respeito, vale também lembrar que Nenhum serviço entrará em contato com você para "ajudar" você a resolver "problemas".E menos ainda se o meio de contato for uma rede social ou um aplicativo de mensagens, como o WhatsApp. Qualquer notificação suspeita deve ser relatada imediatamente ao departamento de TI ou de segurança da sua empresa ou serviço.

Evite usar notificações push como o único método de autenticação multifator (MFA)

Sim, as notificações push são convenientes, mas também são vulneráveis ​​a esse tipo de ataque. É preferível usar métodos mais robustos. como parte da autenticação de dois fatores. Por exemplo:

• Códigos TOTP (Senha única baseada em tempo), que são geradas por aplicativos como o Google Authenticator ou Autêntico.
• chaves de segurança físicas, como YubiKey ou Titan Security Key.
• Autenticação baseada em númerosCom esse método, você precisa inserir um número que aparece na tela de login, o que impede aprovações automáticas.

Implemente limites e alertas para tentativas de autenticação.

Explore o sistema de autenticação que você utiliza e Ative os limites de tentativas e os alertas.Devido ao crescente número de casos relatados de fadiga associada à análise multifatorial (MFA), cada vez mais sistemas de MFA estão incluindo opções para:

• Bloquear temporariamente as tentativas após várias rejeições consecutivas.
• Enviar alertas À equipe de segurança, caso sejam detectadas múltiplas notificações em um curto período de tempo.
• Registro e auditoria Todas as tentativas de autenticação para análise posterior (histórico de acesso).
• Exigir um segundo fator mais forte se a tentativa de login se originar de um local incomum.
• Bloquear acesso automaticamente Se o comportamento do usuário for anormal.

Resumindo, fique alerta! Habilitar a autenticação multifator continua sendo uma medida essencial. Para proteger sua segurança online. Mas não pense que é uma barreira intransponível. Se você consegue acessar, qualquer um consegue se conseguir te enganar. É por isso que os atacantes te visam: eles vão tentar te incomodar até que você os deixe entrar.

Não caia na armadilha da fadiga da autenticação multifator! Não se renda à enxurrada de notificações. Denuncie quaisquer solicitações suspeitas e ative limites e alertas adicionais.Dessa forma, será impossível que a persistência de um atacante o enlouqueça e o faça apertar o botão errado.