多因素身份验证疲劳：通知轰炸攻击及其应对方法

你听说过多因素身份验证疲劳或通知轰炸攻击吗？如果没有，你应该继续阅读。 了解这种新策略以及网络犯罪分子如何使用它这样，如果你不幸遭遇 MFA 疲劳攻击，你就知道该怎么做了。

多因素疲劳：多因素疲劳发作的特征是什么？

多因素身份验证（MFA）已被成功用于加强数字安全一段时间了。很明显， 单靠密码已不足以提供足够的保护。现在必须增加第二层（甚至第三层）验证：短信、推送通知或物理钥匙。

对了，你们的用户账户是否已经启用多因素身份验证？如果您不太了解这方面的内容，可以阅读这篇文章。 这就是两步验证的工作原理，您应该立即激活它以提高您的安全性。然而，尽管它代表了一种非常有效的额外措施， 外交部并非完美无缺最近发生的 MFA 疲劳攻击（也称为通知轰炸攻击）已经非常清楚地表明了这一点。

什么是MFA疲劳？想象一下这个场景：夜已深，你正舒服地躺在沙发上看你最喜欢的节目。突然，你的手机开始不停地震动。你看向屏幕，发现一条又一条通知：“您是想登录吗？你忽略了第一点和第二点；但是 同样的通知不断涌入：几十条！ 在沮丧之下，为了让敲击声停止，你按下了“批准”。

通知轰炸攻击的工作原理

你刚刚陷入了“MFA疲劳症”的困扰。但这怎么可能呢？

1. 网络犯罪分子不知何故获取了您的用户名和密码。
2. Acto seguido, 反复尝试登录 在您使用的某些服务中，身份验证系统自然会向您的多因素身份验证 (MFA) 应用发送推送通知。
3. 当攻击者使用某些自动化工具时，问题就出现了： 它会在短短几分钟内产生数十次甚至数百次登录尝试。.
4. 这会导致你的手机收到大量请求批准的通知。
5. 为了阻止铺天盖地的通知，你点击了 “批准” 就这样，攻击者控制了你的账户。

它为何如此有效？

多因素身份验证疲劳的目标并非战胜技术，而是寻求…… 耗尽你的耐心和常识仔细想想，人为因素才是保障你安全的最薄弱环节。这就是为什么铺天盖地的通知旨在让你应接不暇、不知所措、犹豫不决……直到你误触按钮。而这一切，只需要轻轻一点。

MFA疲劳之所以如此有效，其中一个原因是： 批准推送通知非常简单。只需轻点一下，通常甚至无需解锁手机。有时，这可能是让设备恢复正常的最简单方法。

如果情况更糟， 攻击者会冒充技术支持人员与您联系。他们很可能会主动提供“帮助”来解决“问题”，并敦促您批准该通知。2021 年针对微软的一次攻击就是如此，攻击者冒充 IT 部门欺骗了受害者。

多因素身份验证疲劳：通知轰炸攻击及其应对方法

那么，有没有办法避免多因素身份验证疲劳呢？幸运的是，有一些最佳实践可以有效应对通知轰炸。这些实践并不需要取消多因素身份验证，而是…… 更智能地实施它下面列出的是最有效的措施。

永远不要批准你没有请求的通知。

无论你多么疲惫或沮丧， 你绝不应该批准你未请求的通知。这是防止任何试图诱骗你陷入多因素身份验证疲劳的黄金法则。如果你并非试图登录某个服务，任何多因素身份验证通知都值得怀疑。

在这方面，也值得记住的是： 没有任何服务会主动联系您“帮助”您解决“问题”。如果联系方式是社交网络或即时通讯应用（例如 WhatsApp），则更应如此。任何可疑通知都应立即报告给公司或服务的 IT 或安全部门。

避免仅使用推送通知作为多因素身份验证 (MFA) 的方法。

是的，推送通知很方便，但它们也容易受到这类攻击。 最好使用更稳健的方法。 作为双因素身份验证的一部分。例如：

• TOTP 代码 （基于时间的一次性密码），由诸如 Google Authenticator 之类的应用程序生成。 正宗的。
• Llaves de seguridad físicas， 作为 YubiKey 或 Titan 安全密钥。
• 基于号码的身份验证使用这种方法，您必须输入登录屏幕上显示的数字，这样可以防止自动批准。

对身份验证尝试次数实施限制和警报

检查您使用的身份验证系统并 启用尝试次数限制和警报由于报告的多因素身份验证（MFA）疲劳案例越来越多，越来越多的MFA系统正在提供以下选项：

• 暂时阻止尝试 在连续多次被拒后。
• 发送警报 如果在短时间内检测到多条通知，则通知安全团队。
• 注册和审计 所有身份验证尝试均用于后续分析（访问历史记录）。
• 需要第二个更强的因素 如果登录尝试来自不寻常的位置。
• 自动阻止访问 如果用户的行为异常。

总之，保持警惕！ 启用多因素身份验证仍然是一项至关重要的措施。 为了保护您的网络安全。但不要以为这是一道不可逾越的屏障。如果您能访问，那么任何人只要设法欺骗您就能访问。这就是为什么攻击者会盯上您：他们会想方设法骚扰您，直到您让他们得逞。

不要陷入多因素身份验证疲劳陷阱！不要屈服于通知轰炸。 举报任何可疑请求，并启用额外的限制和警报。这样一来，攻击者的坚持不懈就不可能让你抓狂，让你按下错误的按钮。