MFA-Fatigue-Angriff

Was ist MFA-Fatigue-Angriff?

MFA hält einen Angreifer auf, der nur ein gestohlenes Passwort hat. Deshalb versucht er, die Person zur Bestätigung einer Anmeldung zu bewegen. Spätabends treffen wiederholt Push-Benachrichtigungen ein. Sie lehnen die ersten beiden ab. Dann erklärt eine Nachricht vom angeblichen IT Help Desk die Anfragen zu einer Routineprüfung und verlangt, dass Sie die nächste bestätigen. Sie bearbeiten die Folgen, rufen die echte IT an, melden den Vorfall und lernen wirksame Schutzmaßnahmen kennen. Das Szenario orientiert sich am Uber-Sicherheitsvorfall von 2022.

Was Sie lernen in MFA-Fatigue-Angriff

• Einen MFA-Fatigue-Angriff (Push-Bombing) bereits an der ersten unerwarteten Aufforderung erkennen, bevor der Social-Engineering-Hebel ansetzt
• Die Regel anwenden, jede nicht selbst ausgelöste Aufforderung abzulehnen – egal, wie viele eintreffen –, auch bei Müdigkeit und Zeitdruck
• Die Vortäuschung einer IT-Identität über inoffizielle Kanäle (WhatsApp, Telegram, private Telefonnummer) als Warnsignal erkennen – unabhängig davon, wie legitim die Formulierung klingt
• Auf eine erfolgreiche Kontokompromittierung mit den richtigen ersten Schritten reagieren – die echte IT anrufen, einen gründlichen Vorfallbericht einreichen und das Team über das Angriffsmuster informieren
• Stärkere MFA-Sicherheitsmaßnahmen wählen – Number Matching und phishing-resistente FIDO2-/Hardware-Sicherheitsschlüssel –, die MFA-Fatigue-Angriffe auf Protokollebene abwehren

MFA-Fatigue-Angriff — Trainingsschritte

1. Feierabend machen

   Es ist Donnerstag, kurz nach 23:00 Uhr. Alice hat gerade die letzte E-Mail des Tages verschickt – ein Update zur Routenplanung für die morgigen Frachten – und will ihren Laptop zuklappen. Ihr Smartphone liegt neben ihr auf dem Schreibtisch und wird aufgeladen. Auf ihrem Arbeitskonto ist MFA aktiviert. Mit diesem zusätzlichen Schutz schläft sie ruhiger.

2. Eine unerwartete Anmeldeanfrage

   Alices Smartphone vibriert: eine MFA-Push-Benachrichtigung. Jemand versucht, sich bei ihrem Northridge-Logistics-Portal-Konto anzumelden. Auf ihrem Laptop ist sie bereits angemeldet. Sie hat keinen neuen Anmeldeversuch ausgelöst.

3. Die erste Aufforderung ablehnen

   Diese Anmeldung stammt nicht von Alice. Die richtige Reaktion ist, sie sofort abzulehnen.

4. Sofort die nächste

   Bevor Alice das Smartphone ablegen kann, kommt eine zweite MFA-Push-Benachrichtigung: dasselbe Konto, dieselbe IP-Adresse aus Sofia. Der Zähler in der Aufforderung zeigt nun Versuch #2 . Wer ihr Passwort hat, gibt nicht auf.

5. Eine Nachricht von „IT“

   Während Alice noch auf ihr Smartphone starrt und sich fragt, was hier los ist, kommt eine WhatsApp-Nachricht von jemandem, der sich als Northridge IT Help Desk ausgibt. Der Kontakt ist nicht in ihrem Adressbuch.

6. Zwischen den Zeilen lesen

   An einem normalen Tag würde Alice die Warnsignale in dieser Nachricht erkennen. Aber es ist nach 23 Uhr, sie ist müde, und die Nachricht verwendet die passenden Fachbegriffe: „Rotation der Zugangsdaten“, „erneute Sitzungsprüfung“, „Help Desk“. Genau auf diese Müdigkeit setzt der Angreifer.

7. Die entscheidende Push-Benachrichtigung

   Wie auf Stichwort kommt eine dritte MFA-Push-Benachrichtigung. Alice redet es sich zurecht: Vielleicht führt die IT wirklich Wartungsarbeiten durch. Wenn sie die Anfrage einmal genehmigt, hören die Benachrichtigungen auf und sie kann schlafen. Sie tippt auf Genehmigen.

8. Trügerische Ruhe

   Die Aufforderungen hören auf. Alice atmet aus, schließt ihr Smartphone ans Ladegerät an und geht schlafen. In Sofia ist der Angreifer jetzt bei ihrem Konto im Northridge Logistics Portal angemeldet. Er hat etwa zwanzig Minuten, bevor die Anomalieerkennung des Unternehmens die Anmeldung aus dem Ausland registriert.

9. Eine E-Mail, die Fragen aufwirft

   Alice setzt sich mit einem Kaffee in ihr Homeoffice. In ihrem Posteingang liegen ein paar über Nacht eingegangene Nachrichten. Die erste ist von David Park aus der Finanzabteilung, und die Betreffzeile lässt sie erstarren.

10. Die Puzzleteile fügen sich zusammen

    Alice hat diese E-Mail nicht geschickt. Sie würde Bankverbindungen von Lieferanten niemals per E-Mail ändern. Ihr wird flau im Magen.