Che cos’è la “fatica da MFA” (push bombing)?

Alle 23:30 il tuo telefono vibra per segnalarti una richiesta di autenticazione a più fattori (MFA). La ignori, ma gli avvisi continuano ad arrivare: decine di richieste identiche che vibrano senza sosta per oltre un’ora. Non si tratta di un malfunzionamento tecnico, bensì di un attacco di “MFA fatigue”, noto anche come “push bombing” o “MFA prompt bombing”.

Proprio questa vulnerabilità psicologica ha permesso a un hacker legato al gruppo Lapsus$ di violare Uber nel settembre 2022. Dopo aver acquistato sul dark web la password rubata di un collaboratore esterno, l’autore dell’attacco ha inondato il dispositivo di quest’ultimo con continue notifiche push. Esausto, infastidito e convinto che si trattasse di un errore di sistema, il collaboratore ha infine toccato «Approva». Nel giro di pochi minuti, l’hacker ha ottenuto pieno accesso ai canali Slack interni di Uber, alla VPN e ai repository del codice sorgente.

Per i team di sicurezza, la lezione è chiara. L’autenticazione a più fattori (MFA) è un controllo di sicurezza fondamentale, ma le classiche richieste di “Approva/Rifiuta” sono sicure solo quanto il giudizio della persona stanca che le approva. Comprendere questa catena di attacchi è il primo passo verso la creazione di una difesa davvero resiliente.

Che cos’è la “fatica da MFA” / il “push bombing”?

Il “MFA fatigue” è una tecnica di ingegneria sociale in cui un aggressore, dopo aver ottenuto credenziali aziendali rubate, inonda il dispositivo della vittima con ripetute richieste push di autenticazione a più fattori (MFA). L’obiettivo è costringere la vittima ad approvare una sessione non autorizzata, sfinendola, confondendola o distraendola. Alla fine, la vittima approva la richiesta di accesso semplicemente per far cessare le notifiche o perché ritiene che si tratti di un errore tecnico del sistema.

La comunità della sicurezza classifica sistematicamente questo comportamento. Il framework MITRE ATT&CK classifica ufficialmente questa tattica sotto la tecnica T1621 (Generazione di richieste di autenticazione a più fattori). Essa non sfrutta una vulnerabilità del software del proprio provider di gestione delle identità, ma considera piuttosto l’utente umano come l’ultimo ostacolo da aggirare ricorrendo alla forza bruta e alla perseveranza.

È importante distinguere la terminologia dalla minaccia vera e propria. Che il vostro team addetto alla sicurezza la definisca “push bombing”, “prompt spamming” o “MFA fatigue”, il meccanismo di funzionamento rimane lo stesso. L’attacco consiste in una tecnica di aggiramento che viene messa in atto dopo il furto delle credenziali. L’architettura di sicurezza sottostante funziona esattamente come previsto, ma l’elemento umano viene manipolato al punto da rendere tale sicurezza irrilevante.

In che modo gli hacker sfruttano la “stanchezza da MFA” per ottenere l’accesso?

Un attacco di tipo MFA fatigue segue un ciclo di vita strutturato e articolato in più fasi. Non si verifica mai nel vuoto. Gli autori degli attacchi devono gettare le basi prima di poter iniziare a inviare richieste di autenticazione. Di seguito è riportata la tipica metodologia passo dopo passo osservata nelle violazioni realmente verificatesi.

Fase 1. Furto delle credenziali

Un aggressore non può avviare una richiesta di autenticazione senza conoscere prima le credenziali primarie della vittima. Questa fase è il “passo zero”. Gli autori delle minacce raccolgono queste credenziali utilizzando e-mail di phishing, malware di tipo “infostealer” o attacchi di “credential stuffing”. In molti casi, gli aggressori acquistano semplicemente pacchetti di credenziali di accesso attivi direttamente dai mercati del dark web. Queste credenziali di accesso aziendali convalidate possono essere vendute a prezzi che vanno da un minimo di 10 a 50 dollari per set, secondo una ricerca di intelligence sulle minacce del dark web.

Fase 2. L'ondata di push

Una volta ottenute le credenziali valide (nome utente e password), l’autore dell’attacco le inserisce nel portale di accesso dell’organizzazione. Questa azione innesca automaticamente l’invio di una notifica push legittima all’app di autenticazione registrata dal dipendente. L’autore dell’attacco ripete questa azione in modo sistematico, generando spesso decine di richieste in rapida successione. Queste ondate di richieste vengono spesso programmate in periodi di scarsa attenzione, come a tarda notte o durante i frenetici spostamenti mattutini per recarsi al lavoro.

Fase 3. L'assistenza per l'ingegneria sociale

Per aumentare le proprie possibilità di successo, i gruppi più sofisticati abbinano il bombardamento digitale alla comunicazione diretta. Un aggressore può avviare una telefonata o inviare un SMS nell’ambito di un attacco mirato di impersonificazione, fingendo di essere un rappresentante dell’help desk IT. Informerà il dipendente che le notifiche fanno parte di un aggiornamento di sicurezza o di un controllo di sistema in corso. L’aggressore istruisce quindi la vittima ad approvare la richiesta per risolvere il problema. Questa tecnica, nota come “vishing”, aggiunge un potente livello di autorevolezza alle molestie digitali.

Fase 4. Approvazione e cambiamento di rotta

Nel momento in cui la vittima approva una singola notifica, la fase di accesso va a buon fine. La sessione web dell’autore dell’attacco viene immediatamente convalidata. Una volta stabilito l’accesso iniziale, l’autore dell’attacco può aggirare i controlli locali e muoversi lateralmente all’interno della rete aziendale. Una volta all’interno, si adopera per elevare i propri privilegi, sottrarre file sensibili o distribuire payload di ransomware devastanti.

Perché la “stanchezza da MFA” è un metodo di attacco efficace?

Il motivo principale per cui questo attacco continua ad avere grande successo è che si tratta di una forma di ingegneria sociale: si basa sulla psicologia umana, non sulle vulnerabilità dei software. I sistemi tradizionali di sicurezza informatica considerano il processo decisionale umano come un processo razionale e coerente. In pratica, tuttavia, le prestazioni cognitive si riducono rapidamente in condizioni di stress, elevato carico cognitivo e affaticamento.

In primo luogo, i professionisti di oggi soffrono di una profonda “cecità da notifiche”. L’impiegato medio riceve ogni giorno decine di notifiche push sui propri dispositivi personali e professionali. Questo stimolo costante allena il nostro cervello a chiudere i pop-up con il minimo sforzo analitico. Col passare del tempo, l’azione fisica di toccare “Approva” si trasforma da una decisione consapevole in materia di sicurezza a un riflesso muscolare automatico.

In secondo luogo, gli aggressori sfruttano il fattore tempo. Innescare una valanga di richieste alle 2:00 del mattino costringe la vittima a scegliere tra il ragionamento critico e il sonno immediato. Quando un telefono vibra continuamente accanto al letto di un dipendente, il modo più veloce per tornare a riposare è quello di assecondare la richiesta del dispositivo. L’analisi comportamentale dimostra che le difese umane si indeboliscono sotto tale pressione.

I dati telemetrici confermano queste osservazioni fisiologiche. Secondo i dati telemetrici diffusi da Microsoft, i suoi motori automatici di rilevamento delle minacce hanno registrato oltre 382.000 tentativi di "affaticamento MFA" in un unico periodo di 12 mesi. Sorprendentemente, i dati hanno rivelato che circa l’1% di tutti gli utenti presi di mira ha approvato la primissima notifica push inaspettata ricevuta sullo schermo.

Violazioni nel mondo reale: come la “stanchezza da MFA” ha causato danni senza precedenti

Non c’è bisogno di fare ipotesi sui danni che questi attacchi possono causare. Negli ultimi anni, alcuni dei marchi più famosi al mondo sono stati messi in ginocchio perché un singolo dipendente si era stufato del ronzio del proprio telefono.

Uber (settembre 2022)

In questo episodio, un hacker ha acquistato sul dark web le credenziali di un collaboratore esterno, che erano state sottratte tramite un malware di tipo “infostealer”. L’hacker ha effettuato ripetuti tentativi di accesso, generando una raffica di notifiche push durata un’ora. Per sbloccare la situazione, l’hacker ha inviato un messaggio al collaboratore esterno su WhatsApp, spacciandosi per un amministratore IT di Uber. Il collaboratore esterno ha infine approvato la richiesta, consentendo al gruppo di hacker Lapsus$ di accedere alla rete interna.

Cisco (2022)

Gli autori dell'attacco alla Cisco hanno utilizzato una combinazione altamente strutturata di vishing e invio massiccio di richieste di conferma. Innanzitutto, hanno estratto le credenziali di accesso principali dai profili del browser di un dipendente. Successivamente, hanno avviato una serie di richieste di conferma. Mentre le richieste erano attive, gli aggressori hanno effettuato chiamate vocali spacciandosi per servizi di assistenza affidabili, convincendo il dipendente ad approvare la connessione. Ciò ha consentito agli autori dell'attacco di stabilire una sessione VPN autenticata.

Lapsus$ contro i giganti della tecnologia (2022)

Nel corso di una campagna più ampia, il gruppo Lapsus$ ha trasformato questa tecnica di ingegneria sociale in una procedura operativa standard. Ha utilizzato meccanismi simili di “push-bombing” per infiltrarsi in Microsoft, Okta, Nvidia e Samsung. Abbinando la generazione di richieste tecniche a una comunicazione diretta e aggressiva, fingendo di essere i reparti IT, è riuscito a aggirare i sistemi MFA perimetrali di diverse aziende nel giro di pochi mesi.

MGM Resorts e Caesars Entertainment (2023)

Alla fine del 2023, il gruppo di hacker Scattered Spider ha messo in luce una pericolosa evoluzione di questo tipo di attacco. Gli hacker hanno avviato una campagna mirata effettuando ricognizioni su LinkedIn, per poi contattare telefonicamente l’helpdesk IT aziendale. Sono riusciti a spacciarsi per dirigenti di alto livello, convincendo il personale dell’helpdesk a reimpostare i profili di autenticazione a più fattori (MFA) sugli account con privilegi. Hanno quindi utilizzato il “push bombing” per ottenere l’accesso autenticato. Mentre Caesars avrebbe pagato un riscatto di 15 milioni di dollari, come ampiamente riportato da testate quali Reuters e la BBC, MGM ha optato per una ricostruzione completa, subendo ingenti perdite operative e finanziarie.

Marks & Spencer (aprile 2025)

Lo stesso identico schema è stato utilizzato contro il colosso della vendita al dettaglio Marks & Spencer all’inizio del 2025. I membri del gruppo di attacco Scattered Spider hanno compromesso le credenziali primarie, ingannato il personale dell’help desk e condotto un’aggressiva campagna di “MFA fatigue”. L’accesso così ottenuto è stato utilizzato per distribuire il ransomware DragonForce. L’attacco ha interrotto le operazioni in circa 1.049 punti vendita, contribuendo a un calo immediato del 7% del prezzo delle azioni della società, secondo quanto riportato all’epoca dalla BBC e da Reuters.

La stanchezza da MFA in cifre

Per molto tempo, molti professionisti della sicurezza hanno considerato lo spamming istantaneo come un caso limite piuttosto raro. Tuttavia, i dati sugli incidenti del settore relativi al 2025 e al 2026 rivelano che esso è ormai diventato uno strumento di uso comune nella criminalità informatica:

• Secondo il “Verizon Data Breach Investigations Report (DBIR) 2025”, il “prompt bombing” è emerso in circa il 14% di tutti gli incidenti di ingegneria sociale analizzati a livello globale.
• Il DBIR del 2025 ha evidenziato che il “prompt bombing” ha avuto esito positivo in oltre il 20% degli attacchi di ingegneria sociale rivolti specificatamente alle organizzazioni del settore pubblico.
• Analizzando in particolare gli attacchi rivolti agli ambienti Microsoft 365, il DBIR ha rilevato che le interruzioni dell’autenticazione a più fattori (MFA) (compresi gli attacchi di “fatigue”) hanno rappresentato il 22% di tutti i tentativi riusciti di aggirare l’autenticazione MFA. Il furto di token, una tecnica correlata, ha rappresentato il 31% delle tecniche di aggiramento.
• Diversi rapporti del 2025 relativi alla risposta agli incidenti hanno rilevato che circa il 79% delle vittime di attacchi di tipo “Business Email Compromise” (BEC) oggetto di indagine aveva già attivato l’autenticazione a più fattori (MFA) sui propri sistemi, il che ha dimostrato che le configurazioni di base dell’MFA possono essere aggirate.
• Nonostante il rischio evidente, un sondaggio condotto tra le aziende e sponsorizzato da Cisco Duo ha evidenziato che solo il 19% delle organizzazioni ha implementato pienamente metodi di autenticazione resistenti al phishing, come le chiavi FIDO2, per l’intera forza lavoro.

Quali metodi MFA sono i più (e i meno) vulnerabili?

Non tutti i metodi di autenticazione a più fattori sono uguali. Se la politica di sicurezza della vostra azienda tratta tutte le forme di verifica secondaria allo stesso modo, avete un punto cieco critico. Di seguito trovate un’analisi pratica delle prestazioni dei diversi protocolli di autenticazione contro gli attacchi di tipo “push bombing”.

Come difendersi dalla "stanchezza da MFA" e dal "push bombing"

Per contrastare gli attacchi di tipo “push bombing” non è necessario smantellare la propria infrastruttura di identità. È invece necessario predisporre misure di protezione intelligenti. Attraverso l’implementazione di una politica di difesa a più livelli, è possibile neutralizzare sistematicamente i vettori tecnici e psicologici di questo tipo di attacco.

1. Passare all'autenticazione multifattoriale (MFA) con corrispondenza dei numeri o resistente al phishing

Se non è possibile abbandonare immediatamente le notifiche push standard delle app mobili, attivate la verifica tramite codice numerico. Questa funzionalità è supportata in modo nativo da Microsoft Entra ID, Okta e Cisco Duo. Una volta abilitata, l’utente non può semplicemente toccare “Approva”. Deve invece osservare una sequenza di cifre visualizzata nella schermata di accesso iniziale e digitarle nella propria app di autenticazione. Questo semplice ostacolo elimina completamente i clic ciechi e d’istinto. Per gli account con i privilegi più elevati, date priorità alla migrazione verso chiavi di sicurezza FIDO2/WebAuthn o passkey, che eliminano del tutto la fase di approvazione con un semplice tocco.

2. Limitazione della frequenza e limite massimo delle notifiche push

Non consentire ai tuoi server di autenticazione di elaborare richieste infinite. Configura le politiche del tuo provider di identità (IdP) in modo da bloccare gli account o attivare periodi di pausa temporanei dopo tre-cinque notifiche push rifiutate o ignorate. Se un malintenzionato non riesce a generare più di qualche richiesta prima che il profilo venga bloccato, il vettore di affaticamento psicologico viene meno.

3. Rafforzare il proprio help desk IT

Le spettacolari violazioni subite da MGM e Caesars non sono state causate da malfunzionamenti del software, bensì da compromissioni del servizio di assistenza. Il personale addetto all’assistenza deve applicare rigorosi protocolli di verifica dell’identità prima di reimpostare la configurazione dell’autenticazione a più fattori (MFA) di un dipendente. È necessario implementare richiamate obbligatorie verso numeri di telefono preregistrati, richiedere un’approvazione secondaria da parte dei responsabili o verificare l’identità di persona prima di modificare le impostazioni di sicurezza su un account con privilegi.

4. Avviso in caso di rifiuti consecutivi

Considerate le notifiche di autenticazione negata come un segnale grave, non come rumore di fondo. Se un dipendente preme “Rifiuta” più volte in un breve lasso di tempo, il vostro centro operativo di sicurezza (SOC) dovrebbe ricevere un avviso automatico. Questa azione indica che un aggressore ha già aggirato il livello primario di protezione tramite password e sta attivamente cercando di superare la linea difensiva secondaria.

5. Bloccare l’attacco proprio nel suo vero punto di partenza: il furto delle credenziali

Andiamo al sodo: un attacco di tipo “push bombing” non può verificarsi a meno che un malintenzionato non abbia già rubato il tuo nome utente e la tua password. Sebbene i protocolli di posta elettronica non controllino direttamente l’infrastruttura MFA, proteggere il tuo livello di comunicazione impedisce la compromissione iniziale. La stragrande maggioranza delle credenziali aziendali viene rubata tramite e-mail di phishing che si spacciano per piattaforme interne o partner affidabili, spesso generate utilizzando kit “chiavi in mano ” di spoofing delle e-mail venduti su forum clandestini.

È fondamentale applicare protocolli di sicurezza come DMARC (Domain-based Message Authentication, Reporting, and Conformance) con una politica impostata su p=reject. L'implementazione di DMARC insieme a SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) impedisce agli autori di attacchi malevoli di falsificare i domini aziendali per sottrarre le password dei dipendenti. Bloccando le e-mail di spoofing, si riducono in modo significativo i vettori principali utilizzati nella "Fase Zero" del ciclo di vita dell'attacco.

6. Formare i dipendenti sulla procedura “Negare e segnalare”

Non limitate la vostra formazione sulla sicurezza informatica a noiose presentazioni generiche. Simulate scenari in cui gli utenti mostrano segni di stanchezza nei confronti dell’autenticazione a più fattori (MFA). Spiegate ai dipendenti che il telefono che vibra a causa di richieste inaspettate è un segnale di compromissione, non un errore di sistema. Create un meccanismo semplice e intuitivo che consenta ai dipendenti di “rifiutare e segnalare” attività sospette direttamente ai team di sicurezza con un solo tocco.

Affaticamento dell'MFA rispetto ad altre tecniche di bypass dell'MFA

Sebbene lo spamming dei prompt sia incredibilmente efficace, rappresenta solo uno degli strumenti a disposizione dei cybercriminali di oggi. Per proteggere la vostra organizzazione, è necessario comprendere come questa minaccia si collochi rispetto ad altre tecniche comuni di bypass dell’autenticazione.

• Phishing di tipo “Adversary-in-the-Middle” (AiTM): a differenza della “stanchezza da MFA”, che si basa sulla collaborazione dell’utente, le configurazioni AiTM impiegano un server proxy tra la vittima e il portale di accesso legittimo. Il proxy intercetta in tempo reale sia le credenziali primarie dell’utente sia il cookie di sessione convalidato, aggirando completamente l’autenticazione a più fattori (MFA) senza bisogno di inviare messaggi indesiderati al dispositivo della vittima.
• SIM Swapping: in questo tipo di attacco, l’autore della minaccia ricorre a tecniche di ingegneria sociale per indurre un operatore di telefonia mobile a trasferire il numero di telefono della vittima su una scheda SIM non autorizzata. Ciò gli consente di intercettare i codici monouso inviati tramite SMS, prendendo di mira le reti cellulari anziché sfruttare le notifiche push.
• Furto di token di sessione: questa tecnica utilizza malware specializzati nel furto di informazioni (infostealer) o estensioni del browser compromesse per estrarre i token di sessione attivi direttamente dalla memoria locale. Ciò consente all'autore dell'attacco di dirottare una sessione aziendale attiva, aggirando completamente il portale di accesso e le fasi di verifica secondarie.

È importante comprendere che gli autori delle minacce non si limitano a un unico metodo. I gruppi di hacker più sofisticati spesso combinano queste tecniche. Ad esempio, un gruppo potrebbe ricorrere al phishing per sottrarre credenziali, tentare di aggirare l’AiTM e, qualora i tentativi iniziali fallissero, ricorrere al vishing mirato all’help desk e allo spamming tramite messaggi push.

Superare la "stanchezza da MFA": la strada da seguire

Ammettiamolo: l’autenticazione multifattoriale basata su notifiche push è stata progettata per essere veloce e senza intoppi, ma la “stanchezza da MFA” e il “push bombing” dimostrano che la facilità d’uso è diventata la sua principale vulnerabilità. Le violazioni di alto profilo subite da Uber, Cisco, MGM e Marks & Spencer dimostrano che affidarsi alla capacità di un utente umano di compiere la scelta giusta durante un attacco in corso rappresenta un grave rischio per la sicurezza.

Per garantire la sicurezza della vostra organizzazione, è necessario andare oltre le semplici configurazioni di tipo “Approva/Rifiuta”. L’implementazione della verifica della corrispondenza dei numeri e della limitazione della frequenza delle notifiche push rappresenta un primo passo fondamentale, ma è altrettanto essenziale proteggere i punti di accesso. Combinando metodi di autenticazione resistenti al phishing con rigorosi protocolli di sicurezza dei domini, potrete difendere i vostri utenti in ogni fase del ciclo delle minacce.

Sei pronto a proteggere il tuo dominio e a bloccare il “credential harvesting” alla fonte? Inizia oggi stesso a valutare la configurazione dell’autenticazione delle tue e-mail. Consulta le nostre guide sul “credential harvesting” per capire in che modo gli hacker prendono di mira le tue password e scopri come PowerDMARC Analyzer può impedire che le e-mail di phishing fraudolente arrivino nelle caselle di posta dei tuoi dipendenti.

Domande frequenti

In parole semplici, cos’è la “stanchezza da MFA”?

Il “MFA fatigue” è un attacco informatico in cui un hacker, che conosce già la tua password, invia ripetutamente richieste di autenticazione sul tuo telefono. Il dispositivo viene inondato di notifiche “Approva”, nella speranza che, alla fine, tu clicchi su di esse per puro fastidio, per confusione o semplicemente per far smettere di vibrare le notifiche.

La "MFA fatigue" è la stessa cosa del "MFA bombing" o del "push bombing"?

Sì, questi termini descrivono esattamente la stessa tecnica di attacco. Che gli esperti di sicurezza la chiamino “MFA fatigue”, “prompt spamming”, “MFA bombing” o “push bombing”, la metodologia alla base rimane la stessa. Gli aggressori inondano il dispositivo della vittima con ripetute richieste di autenticazione fino a quando questa non cede.

In che modo gli hacker sfruttano la "stanchezza da MFA" per ottenere l'accesso?

In primo luogo, gli hacker rubano le tue credenziali tramite phishing, malware di tipo “infostealer” o mercati del dark web. Successivamente, tentano ripetutamente di accedere al tuo account, generando una serie infinita di notifiche push sul tuo telefono. Una volta che, per sfinimento, tocchi “Approva”, l’autore dell’attacco viene immediatamente autenticato nella tua rete aziendale.

Perché la “stanchezza da MFA” è un metodo di attacco efficace?

È estremamente efficace perché sfrutta la psicologia umana anziché i bug tecnici del software. Sfrutta condizioni cognitive comuni come la “stanchezza da notifiche”, la distrazione e la spossatezza notturna, trasformando un normale controllo di sicurezza in un gioco di resistenza che l’autore dell’attacco deve vincere solo una volta.

Il DMARC o l'autenticazione delle e-mail possono prevenire gli attacchi basati sulla "stanchezza da MFA"?

DMARC non è in grado di bloccare direttamente le notifiche push una volta che un malintenzionato è entrato in possesso delle tue credenziali. Tuttavia, blocca le e-mail di phishing contraffatte che i malintenzionati utilizzano proprio per ottenere tali credenziali. In questo modo viene sistematicamente neutralizzato il fondamentale “Step Zero” necessario affinché l’attacco abbia luogo.

Qual è la difesa più efficace in assoluto contro i bombardamenti a ondata?

La difesa più efficace in assoluto consiste nel passare a un'autenticazione multifattoriale senza password e resistente al phishing, come i token di sicurezza hardware FIDO2 o le passkey di piattaforma. Queste tecnologie legano crittograficamente gli accessi alla sessione del browser, neutralizzando completamente gli attacchi di "push bombing" da remoto e il furto delle credenziali.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Che cos’è la “fatica da MFA” (push bombing)? - 21 luglio 2026
• Caso di studio DMARC MSP: come Adoptive Technologies fornisce ai clienti una sicurezza centralizzata della posta elettronica grazie a PowerDMARC - 17 luglio 2026
• Come configurare DMARC per Google Workspace (Gmail) - 14 luglio 2026