Czym jest zmęczenie MFA (atak typu „push bombing”)?

O godz. 23:30 telefon wibruje, wyświetlając monit o uwierzytelnienie wieloskładnikowe (MFA). Ignorujesz go, ale powiadomienia nadal się pojawiają – dziesiątki identycznych monitów wibrują nieustannie przez ponad godzinę. Nie jest to usterka techniczna; to aktywny atak typu „MFA fatigue”, znany również jako „push bombing” lub „MFA prompt bombing”.

Właśnie ta luka psychologiczna umożliwiła atakującemu powiązanemu z grupą Lapsus$ włamanie się do systemu Ubera we wrześniu 2022 roku. Po zakupie skradzionego hasła jednego z podwykonawców w dark webie cyberprzestępca zalał urządzenie tego podwykonawcy nieustannymi powiadomieniami push. Wyczerpany, zirytowany i zakładając, że to błąd systemu, wykonawca w końcu kliknął „Zatwierdź”. W ciągu kilku minut haker uzyskał pełny dostęp do wewnętrznych kanałów Slacka firmy Uber, sieci VPN oraz repozytoriów kodu źródłowego.

Dla zespołów ds. bezpieczeństwa wniosek jest jasny. Uwierzytelnianie wieloskładnikowe (MFA) stanowi podstawowy mechanizm zabezpieczający, jednak standardowe monity typu „Zatwierdź/Odrzuć” są tak bezpieczne, jak ocena sytuacji dokonywana przez zmęczonego człowieka, który je zatwierdza. Zrozumienie tego łańcucha ataku jest pierwszym krokiem w kierunku stworzenia prawdziwie odpornej ochrony.

Czym jest „zmęczenie MFA” / „bombardowanie typu push”?

„Zmęczenie MFA” to technika inżynierii społecznej, w ramach której atakujący, który wszedł w posiadanie skradzionych danych uwierzytelniających firmy, zalewa urządzenie ofiary powtarzającymi się żądaniami push związanymi z uwierzytelnianiem wieloskładnikowym (MFA). Celem jest zmuszenie ofiary do zatwierdzenia fałszywej sesji poprzez wyczerpanie, zdezorientowanie lub odwrócenie uwagi pracownika. Ostatecznie ofiara zatwierdza żądanie logowania po prostu po to, by powiadomienia ustały, lub ponieważ uważa, że jest to techniczny błąd systemu.

Społeczność zajmująca się bezpieczeństwem systematycznie klasyfikuje to zachowanie. W ramach modelu MITRE ATT&CK taktyka ta została oficjalnie sklasyfikowana jako Technika T1621 (Generowanie żądań uwierzytelniania wieloskładnikowego). Nie polega ona na wykorzystaniu luki w oprogramowaniu dostawcy usług zarządzania tożsamością. Traktuje ona raczej użytkownika jako ostatnią przeszkodę, którą należy pokonać, stosując masowe ataki i wytrwałość.

Ważne jest, aby oddzielić terminologię od samego zagrożenia. Niezależnie od tego, czy zespół ds. bezpieczeństwa nazywa to „push bombing”, „prompt spamming” czy „zmęczeniem wielopoziomowym uwierzytelnianiem” (MFA fatigue), mechanizm działania pozostaje ten sam. Atak ten stanowi technikę obejścia zabezpieczeń stosowaną po kradzieży danych uwierzytelniających. Podstawowa architektura bezpieczeństwa działa dokładnie zgodnie z założeniami, jednak czynnik ludzki jest manipulowany w taki sposób, że zabezpieczenia te tracą znaczenie.

W jaki sposób hakerzy wykorzystują zmęczenie związane z uwierzytelnianiem wieloskładnikowym (MFA), aby uzyskać dostęp?

Atak typu „MFA fatigue” przebiega zgodnie ze ustrukturyzowanym, wieloetapowym cyklem. Nigdy nie pojawia się on w próżni. Atakujący muszą najpierw przygotować grunt, zanim będą mogli zacząć wysyłać żądania uwierzytelnienia. Poniżej przedstawiono typową metodologię krok po kroku, zaobserwowaną w rzeczywistych przypadkach naruszeń bezpieczeństwa.

Krok 1. Kradzież danych uwierzytelniających

Atakujący nie może wywołać monitu o uwierzytelnienie, nie znając wcześniej podstawowych danych uwierzytelniających ofiary. Ta faza stanowi etap zerowy. Sprawcy ataków pozyskują te dane za pomocą wiadomości phishingowych, złośliwego oprogramowania służącego do kradzieży danych lub ataków typu „credential stuffing”. W wielu przypadkach atakujący po prostu kupują pakiety aktywnych danych logowania bezpośrednio na rynkach w dark webie. Według badań dotyczących zagrożeń w dark webie te zweryfikowane korporacyjne dane dostępowe mogą być sprzedawane już za 10–50 dolarów za zestaw.

Krok 2. Zalew powiadomień push

Gdy atakujący zdobędzie prawidłową nazwę użytkownika i hasło, wprowadza je do portalu logowania organizacji. Czynność ta automatycznie wyzwala autentyczne powiadomienie push wysyłane do zarejestrowanej aplikacji uwierzytelniającej pracownika. Atakujący systematycznie powtarza tę czynność. Często generuje dziesiątki żądań w krótkich odstępach czasu. Takie zalewy są często planowane na okresy obniżonej uwagi, takie jak późna noc lub poranne dojazdy do pracy, kiedy panuje duży pośpiech.

Krok 3. Pomoc w zakresie inżynierii społecznej

Aby zwiększyć swoje szanse na sukces, wyrafinowane grupy łączą zalew wiadomości cyfrowych z bezpośrednią komunikacją. W ramach ukierunkowanego ataku polegającego na podszywaniu się się napastnik może zainicjować rozmowę telefoniczną lub wysłać SMS-a, udając pracownika działu pomocy technicznej IT. Poinformuje on pracownika, że powiadomienia są częścią trwającej aktualizacji zabezpieczeń lub kontroli systemu. Następnie napastnik instruuje ofiarę, aby zatwierdziła monit w celu rozwiązania problemu. Technika ta, znana jako „vishing”, nadaje cyfrowemu nękaniu dodatkowy element autorytetu.

Krok 4. Zatwierdzenie i zmiana kierunku

W momencie, gdy ofiara zatwierdzi choćby jedno powiadomienie, faza logowania kończy się sukcesem. Sesja internetowa atakującego zostaje natychmiast uwierzytelniona. Po uzyskaniu wstępnego dostępu atakujący może ominąć lokalne mechanizmy kontroli i poruszać się w sieci korporacyjnej w kierunku bocznym. Po przedostaniu się do sieci atakujący podejmuje działania mające na celu eskalację uprawnień, wykradzenie poufnych plików lub wdrożenie niszczycielskich ładunków ransomware.

Dlaczego „zmęczenie MFA” jest skuteczną metodą ataku?

Głównym powodem, dla którego atak ten nadal odnosi tak duże sukcesy, jest fakt, że stanowi on formę inżynierii społecznej: opiera się na psychologii człowieka, a nie na lukach w oprogramowaniu. Tradycyjne systemy cyberbezpieczeństwa traktują proces podejmowania decyzji przez człowieka jako racjonalny i spójny proces. W praktyce jednak sprawność poznawcza gwałtownie spada w warunkach stresu, dużego obciążenia poznawczego i zmęczenia.

Po pierwsze, współcześni pracownicy zawodowi doświadczają głębokiej „ślepoty na powiadomienia”. Przeciętny pracownik biurowy codziennie otrzymuje dziesiątki powiadomień push na swoich urządzeniach prywatnych i służbowych. Ten ciągły bodziec sprawia, że nasz mózg przyzwyczaja się do klikania wyskakujących okienek bez głębszej analizy. Z czasem fizyczny gest kliknięcia przycisku „Zatwierdź” przestaje być świadomą decyzją dotyczącą bezpieczeństwa, a staje się automatycznym odruchem mięśniowym.

Po drugie, atakujący wykorzystują czynnik czasu. Wywołanie lawiny powiadomień o godz. 2:00 w nocy zmusza ofiarę do wyboru między krytycznym myśleniem a natychmiastowym snem. Kiedy telefon wibruje nieprzerwanie obok łóżka pracownika, najszybszym sposobem na powrót do snu jest wykonanie polecenia wyświetlanego na ekranie urządzenia. Analiza behawioralna dowodzi, że pod taką presją ludzkie mechanizmy obronne ulegają osłabieniu.

Dane telemetryczne potwierdzają te spostrzeżenia fizjologiczne. Zgodnie z danymi telemetrycznymi opublikowanymi przez firmę Microsoft, jej zautomatyzowane systemy wykrywania zagrożeń zarejestrowały ponad 382 000 prób wykorzystujących zmęczenie związane z uwierzytelnianiem wieloskładnikowym (MFA) w ciągu zaledwie jednego 12-miesięcznego okresu. Co zaskakujące, dane te ujawniły, że około 1% wszystkich użytkowników, do których skierowano ataki, zatwierdziło pierwsze nieoczekiwane powiadomienie push, które pojawiło się na ich ekranie.

Prawdziwe przypadki naruszeń bezpieczeństwa: jak zmęczenie wielopoziomowym uwierzytelnianiem (MFA) spowodowało historyczne szkody

Nie musimy snuć teorii na temat szkód, jakie mogą wyrządzić takie ataki. W ciągu ostatnich kilku lat niektóre z najbardziej rozpoznawalnych marek na świecie znalazły się w poważnych tarapatach tylko dlatego, że jednemu z pracowników znudziło się wibrowanie telefonu.

Uber (wrzesień 2022 r.)

W tym przypadku cyberprzestępca nabył dane uwierzytelniające wykonawcy w dark webie po tym, jak zostały one wykradzione za pomocą złośliwego oprogramowania typu infostealer. Cyberprzestępca wielokrotnie logował się na konto, generując trwającą godzinę lawinę powiadomień push. Aby przełamać impas, haker wysłał wykonawcy wiadomość na WhatsApp, podając się za administratora IT firmy Uber. Wykonawca ostatecznie zatwierdził żądanie, zapewniając grupie Lapsus$ dostęp do sieci wewnętrznej.

Cisco (2022)

Sprawcy ataku na firmę Cisco wykorzystali wysoce ustrukturyzowane połączenie technik vishingu i spamowania powiadomieniami. Najpierw wyodrębnili podstawowe dane logowania z profili przeglądarek pracowników. Następnie uruchomili serię powiadomień push. Podczas gdy powiadomienia były aktywne, atakujący nawiązywali połączenia głosowe, podszywając się pod zaufane centra pomocy technicznej, i przekonywali pracowników do zatwierdzenia połączenia. Umożliwiło to sprawcom nawiązanie uwierzytelnionej sesji VPN.

Lapsus$ kontra giganci technologiczni (2022)

W ramach szeroko zakrojonej kampanii grupa Lapsus$ uczyniła tę technikę inżynierii społecznej standardową procedurą operacyjną. Wykorzystała podobne mechanizmy typu „push-bombing”, aby przeniknąć do firm Microsoft, Okta, Nvidia i Samsung. Łącząc generowanie technicznych komunikatów z bezpośrednią, wywierającą silną presję komunikacją, w której podszywali się pod działy IT, w ciągu kilku miesięcy zdołali ominąć systemy wielopoziomowego uwierzytelniania (MFA) chroniące obwód sieciowy w wielu przedsiębiorstwach.

MGM Resorts i Caesars Entertainment (2023)

Pod koniec 2023 roku grupa hakerska Scattered Spider zademonstrowała niebezpieczną ewolucję tego ataku. Hakerzy rozpoczęli ukierunkowaną kampanię od przeprowadzenia rozpoznania na LinkedIn, a następnie zadzwonili do korporacyjnego działu pomocy technicznej. Udało im się podszyć pod pracowników wysokiego szczebla, przekonując personel pomocy technicznej do zresetowania profili uwierzytelniania wieloskładnikowego (MFA) na kontach o uprawnieniach uprzywilejowanych. Następnie wykorzystali technikę „push bombing”, aby uzyskać dostęp do uwierzytelnionego konta. Podczas gdy firma Caesars podobno zapłaciła okup w wysokości 15 milionów dolarów, o czym szeroko informowały media, w tym Reuters i BBC, firma MGM zdecydowała się na odbudowę systemu, ponosząc ogromne straty operacyjne i finansowe.

Marks & Spencer (kwiecień 2025 r.)

Dokładnie ten sam scenariusz został zastosowany przeciwko gigantowi handlu detalicznego Marks & Spencer na początku 2025 roku. Członkowie grupy hakerskiej Scattered Spider przejęli główne dane uwierzytelniające, oszukali pracowników działu pomocy technicznej i przeprowadzili agresywną kampanię mającą na celu zmęczenie użytkowników wielopoziomowym uwierzytelnianiem (MFA). Uzyskany w ten sposób dostęp wykorzystano do zainstalowania oprogramowania ransomware DragonForce. Atak zakłócił działalność około 1 049 sklepów detalicznych, co przyczyniło się do natychmiastowego spadku ceny akcji spółki o 7%, jak podają ówczesne doniesienia BBC i agencji Reuters.

Zmęczenie związane z programem MFA w liczbach

Przez długi czas wielu specjalistów ds. bezpieczeństwa traktowało spamowanie w czasie rzeczywistym jako rzadki, skrajny przypadek. Jednak dane dotyczące incydentów z lat 2025 i 2026 pokazują, że stało się ono powszechnie stosowanym narzędziem cyberprzestępców:

• Zgodnie z raportem Verizon Data Breach Investigations Report (DBIR) z 2025 r. ataki typu „prompt bombing” wystąpiły w około 14% wszystkich przeanalizowanych incydentów związanych z inżynierią społeczną na całym świecie.
• W raporcie DBIR z 2025 r. odnotowano, że ataki typu „prompt bombing” zakończyły się sukcesem w ponad 20% przypadków ataków opartych na inżynierii społecznej, skierowanych konkretnie przeciwko organizacjom sektora publicznego.
• Jeśli chodzi konkretnie o ataki wymierzone w środowiska Microsoft 365, w raporcie DBIR stwierdzono, że zakłócenia procesu uwierzytelniania wieloskładnikowego (MFA) (w tym ataki oparte na zmęczeniu użytkownika) stanowiły 22% wszystkich udanych prób obejścia uwierzytelniania wieloskładnikowego. Kradzież tokenów, jako powiązana technika, stanowiła 31% wszystkich technik obejścia.
• W wielu raportach dotyczących reagowania na incydenty z 2025 r. stwierdzono, że około 79% ofiar ataków typu „business email compromise” (BEC), których przypadki zostały zbadane, miało już włączone uwierzytelnianie wieloskładnikowe (MFA) w swoich systemach, co dowiodło, że podstawowe konfiguracje MFA można ominąć.
• Pomimo oczywistego ryzyka, badanie przeprowadzone wśród przedsiębiorstw pod auspicjami Cisco Duo wykazało, że jedynie 19% organizacji w pełni wdrożyło odporne na phishing metody uwierzytelniania, takie jak klucze FIDO2, wśród wszystkich swoich pracowników.

Które metody MFA są najbardziej (a które najmniej) podatne na ataki?

Nie wszystkie metody uwierzytelniania wieloskładnikowego są sobie równe. Jeśli polityka bezpieczeństwa Twojej firmy traktuje wszystkie formy dodatkowej weryfikacji w ten sam sposób, masz poważną lukę w zabezpieczeniach. Poniżej przedstawiono praktyczną analizę skuteczności różnych protokołów uwierzytelniania w obliczu ataków typu „push bombing”.

Jak chronić się przed zmęczeniem uwierzytelnianiem wieloskładnikowym (MFA) i atakami typu „push bombing”

Aby zapobiec atakom typu „push bombing”, nie trzeba rezygnować z infrastruktury tożsamościowej. Wymaga to jednak stworzenia inteligentnych zabezpieczeń. Wdrażając wielowarstwową politykę obronną, można systematycznie neutralizować techniczne i psychologiczne wektory tego ataku.

1. Przejdź na uwierzytelnianie wieloskładnikowe oparte na zgodności numerów lub odporne na phishing

Jeśli nie możesz od razu zrezygnować ze standardowych powiadomień push w aplikacjach mobilnych, włącz funkcję dopasowywania numerów. Funkcja ta jest natywnie obsługiwana w Microsoft Entra ID, Okta i Cisco Duo. Po jej włączeniu użytkownik nie może po prostu kliknąć „Zatwierdź”. Musi sprawdzić sekwencję cyfr wyświetloną na ekranie logowania i wpisać ją w swojej aplikacji uwierzytelniającej. Ten prosty punkt oporu całkowicie eliminuje ślepe, odruchowe kliknięcia. W przypadku kont o najwyższych uprawnieniach należy priorytetowo potraktować migrację do kluczy bezpieczeństwa FIDO2/WebAuthn lub kluczy dostępu, które całkowicie eliminują etap zatwierdzania jednym dotknięciem.

2. Ograniczenie częstotliwości i limit powiadomień push

Nie należy pozwalać, aby serwery uwierzytelniające przetwarzały niekończące się żądania. Należy skonfigurować zasady dostawcy tożsamości (IdP) tak, aby po trzech do pięciu odrzuconych lub zignorowanych powiadomieniach push konta były blokowane lub uruchamiano tymczasowe okresy blokady. Jeśli osoba atakująca nie jest w stanie wygenerować więcej niż kilku monitów przed zablokowaniem profilu, znika wektor zmęczenia psychicznego.

3. Wzmocnij dział pomocy technicznej IT

Spektakularne naruszenia bezpieczeństwa w firmach MGM i Caesars nie wynikały z awarii oprogramowania. Były to ataki na dział pomocy technicznej. Pracownicy działu wsparcia muszą stosować rygorystyczne protokoły weryfikacji tożsamości przed zresetowaniem konfiguracji uwierzytelniania wieloskładnikowego (MFA) pracownika. Należy wprowadzić obowiązkowe połączenia zwrotne na wcześniej zarejestrowane numery telefonów, wymagać dodatkowego zatwierdzenia przez przełożonych lub weryfikować tożsamość osobiście przed zmianą ustawień bezpieczeństwa na koncie z uprawnieniami uprzywilejowanymi.

4. Powiadomienie o kolejnych odmowach

Powiadomienia o odrzuconych próbach uwierzytelnienia należy traktować jako poważny sygnał, a nie jako szum w tle. Jeśli pracownik kilkakrotnie kliknie przycisk „Odrzuć” w krótkim odstępie czasu, centrum operacji bezpieczeństwa (SOC) powinno otrzymać automatyczny alert. Takie działanie wskazuje, że atakujący ominął już pierwszą warstwę zabezpieczeń w postaci hasła i aktywnie próbuje przełamać drugą linię obrony.

5. Powstrzymaj atak już w jego prawdziwym punkcie początkowym: kradzież danych uwierzytelniających

Powiedzmy to wprost: atak typu „push bombing” nie może mieć miejsca, dopóki osoba atakująca nie wykradnie Twojej nazwy użytkownika i hasła. Chociaż protokoły poczty elektronicznej nie kontrolują bezpośrednio infrastruktury uwierzytelniania wieloskładnikowego (MFA), zabezpieczenie warstwy komunikacyjnej zapobiega początkowemu naruszeniu bezpieczeństwa. Zdecydowana większość danych uwierzytelniających w przedsiębiorstwach jest wykradana za pośrednictwem wiadomości phishingowych, które podszywają się pod wewnętrzne platformy lub zaufanych partnerów; często są one generowane przy użyciu gotowych zestawów do fałszowania adresów e-mail jako usługi, sprzedawanych na podziemnych forach.

Wdrożenie protokołów bezpieczeństwa, takich jak DMARC (Domain-based Message Authentication, Reporting, and Conformance), z ustawieniem p=reject ma kluczowe znaczenie. Wdrożenie DMARC wraz z SPF (Sender Policy Framework) i DKIM (DomainKeys Identified Mail) uniemożliwia złośliwym podmiotom podszywanie się pod domeny firmowe w celu wyłudzenia haseł od pracowników. Blokując wiadomości e-mail wykorzystujące podszywanie się, znacznie ograniczasz główne wektory wykorzystywane w „kroku zerowym” cyklu życia ataku.

6. Przeprowadź szkolenie dla pracowników dotyczące procedury „odmowy i zgłoszenia”

Nie ograniczaj szkoleń z zakresu cyberbezpieczeństwa do nudnych, ogólnikowych prezentacji. Przeprowadzaj symulacje sytuacji związanych ze zmęczeniem związanym z uwierzytelnianiem wieloskładnikowym (MFA). Uświadom pracownikom, że wibracja telefonu wywołana nieoczekiwanymi monitami jest oznaką włamania, a nie błędem systemu. Stwórz prosty i wygodny mechanizm, dzięki któremu pracownicy będą mogli jednym dotknięciem „odrzucić i zgłosić” podejrzaną aktywność bezpośrednio do zespołów ds. bezpieczeństwa.

Zmęczenie metodą MFA a inne techniki omijania MFA

Chociaż spamowanie za pomocą komunikatów jest niezwykle skuteczne, stanowi ono jedynie jedno z narzędzi w arsenale współczesnych cyberprzestępców. Aby chronić swoją organizację, należy zrozumieć, jak to zagrożenie ma się do innych powszechnie stosowanych technik omijania uwierzytelniania.

• Phishing typu „Adversary-in-the-Middle” (AiTM): W przeciwieństwie do zjawiska „zmęczenia uwierzytelnianiem wieloskładnikowym” (MFA), które opiera się na współpracy użytkownika, w przypadku ataków AiTM między ofiarą a autentycznym portalem logowania wstawiany jest serwer proxy. Serwer ten przechwytuje w czasie rzeczywistym zarówno podstawowe dane uwierzytelniające użytkownika, jak i zweryfikowany plik cookie sesji, całkowicie omijając uwierzytelnianie wieloskładnikowe bez konieczności wysyłania spamu na urządzenie ofiary.
• Podmiana karty SIM: W ramach tego ataku sprawca wykorzystuje techniki inżynierii społecznej, aby nakłonić operatora komórkowego do przeniesienia numeru telefonu ofiary na fałszywą kartę SIM. Pozwala mu to na przechwytywanie jednorazowych kodów przesyłanych SMS-em; atak ten jest skierowany przeciwko sieciom komórkowym, a nie opiera się na wykorzystaniu powiadomień push.
• Kradzież tokenów sesji: Technika ta wykorzystuje specjalistyczne złośliwe oprogramowanie typu infostealer lub zainfekowane rozszerzenia przeglądarki do wyodrębniania aktywnych tokenów sesji bezpośrednio z pamięci lokalnej. Pozwala to atakującemu przejąć kontrolę nad aktywną sesją korporacyjną, całkowicie omijając portal logowania i dodatkowe etapy weryfikacji.

Należy pamiętać, że cyberprzestępcy nie ograniczają się do jednej metody. Zaawansowane grupy atakujące często łączą te techniki. Na przykład grupa może wykorzystać phishing do przejęcia danych uwierzytelniających, podjąć próbę obejścia systemu AiTM, a następnie – jeśli początkowe próby zakończą się niepowodzeniem – przejść do vishingu ukierunkowanego na dział pomocy technicznej oraz spamowania wiadomości typu „push”.

Jak przezwyciężyć zmęczenie procesem weryfikacji wielopoziomowej (MFA): droga naprzód

Spójrzmy prawdzie w oczy: uwierzytelnianie wieloskładnikowe oparte na powiadomieniach push zostało zaprojektowane z myślą o szybkości i płynności działania, jednak zmęczenie użytkowników wieloskładnikowym uwierzytelnianiem oraz zjawisko „bombardowania powiadomieniami push” dowodzą, że łatwość obsługi stała się jego największą słabością. Głośne przypadki naruszeń bezpieczeństwa w firmach Uber, Cisco, MGM i Marks & Spencer pokazują, że poleganie na tym, że użytkownik podejmie właściwą decyzję w trakcie trwającego ataku, stanowi poważne zagrożenie dla bezpieczeństwa.

Aby zapewnić bezpieczeństwo swojej organizacji, należy wyjść poza podstawowe ustawienia typu „Zatwierdź/Odrzuć”. Wdrożenie weryfikacji numerów i ograniczeń częstotliwości powiadomień push stanowi kluczowy pierwszy krok, ale równie istotne jest zabezpieczenie punktów dostępu. Łącząc metody uwierzytelniania odporne na phishing z rygorystycznymi protokołami bezpieczeństwa domen, można chronić użytkowników na każdym etapie cyklu zagrożenia.

Chcesz zabezpieczyć swoją domenę i powstrzymać wykradanie danych uwierzytelniających u źródła? Zacznij już dziś od oceny swojej konfiguracji uwierzytelniania poczty elektronicznej. Zapoznaj się z naszymi przewodnikami na temat wykradania danych uwierzytelniających, aby zrozumieć, w jaki sposób hakerzy atakują Twoje hasła, i dowiedzieć się, jak narzędzie PowerDMARC Analyzer może zapobiegać przedostawaniu się fałszywych wiadomości phishingowych do skrzynek pocztowych Twoich pracowników.

Najczęściej zadawane pytania

Czym w skrócie jest „zmęczenie MFA”?

„MFA fatigue” to rodzaj cyberataku, w ramach którego haker, który zna już Twoje hasło, wielokrotnie generuje żądania uwierzytelnienia na Twoim telefonie. Zasypuje on Twoje urządzenie powiadomieniami z prośbą o „zatwierdzenie”, licząc, że w końcu je klikniesz – czy to z czystej irytacji, dezorientacji, czy też po to, by powiadomienia przestały brzęczeć.

Czy „zmęczenie MFA” to to samo, co „bombardowanie MFA” lub „bombardowanie z wysuniętej pozycji”?

Tak, terminy te opisują dokładnie tę samą technikę ataku. Niezależnie od tego, czy specjaliści ds. bezpieczeństwa nazywają to „zmęczeniem wielopoziomowym uwierzytelnianiem”, „spamowaniem monitów”, „bombardowaniem wielopoziomowym uwierzytelnianiem” czy „bombardowaniem powiadomień push”, podstawowa metodologia pozostaje ta sama. Atakujący zalewają urządzenie ofiary powtarzającymi się monitami o uwierzytelnienie, aż ta się podda.

W jaki sposób hakerzy wykorzystują zmęczenie związane z uwierzytelnianiem wieloskładnikowym (MFA), aby uzyskać dostęp?

Najpierw hakerzy kradną dane uwierzytelniające za pomocą phishingu, złośliwego oprogramowania typu infostealer lub platform handlowych w dark webie. Następnie wielokrotnie próbują zalogować się na Twoje konto, co powoduje niekończące się powiadomienia push na Twoim telefonie. Gdy z wyczerpania klikniesz „Zatwierdź”, atakujący natychmiast uzyskuje dostęp do Twojej sieci firmowej.

Dlaczego „zmęczenie MFA” jest skuteczną metodą ataku?

Jest to metoda niezwykle skuteczna, ponieważ wykorzystuje ludzką psychologię zamiast technicznych błędów oprogramowania. Wykorzystuje typowe zjawiska poznawcze, takie jak zmęczenie powiadomieniami, rozproszenie uwagi i wyczerpanie późną nocą, przekształcając standardową kontrolę bezpieczeństwa w grę o utrzymanie dostępu, w której atakujący musi wygrać tylko raz.

Czy protokół DMARC lub uwierzytelnianie wiadomości e-mail mogą zapobiegać atakom wykorzystującym zmęczenie wielopoziomowym uwierzytelnianiem (MFA)?

DMARC nie jest w stanie bezpośrednio zablokować powiadomień push, gdy atakujący wejdzie już w posiadanie danych uwierzytelniających użytkownika. Blokuje jednak sfałszowane wiadomości phishingowe, których atakujący używają przede wszystkim do wyłudzenia tych danych. W ten sposób systematycznie uniemożliwia realizację kluczowego „kroku zerowego”, niezbędnego do przeprowadzenia ataku.

Jaka jest najskuteczniejsza metoda obrony przed bombardowaniem z powietrza?

Najskuteczniejszym sposobem ochrony jest przejście na wieloskładnikowe uwierzytelnianie bez haseł, odporne na phishing, takie jak sprzętowe tokeny bezpieczeństwa zgodne ze standardem FIDO2 lub klucze dostępu do platform. Technologie te kryptograficznie wiążą dane logowania z sesją przeglądarki, całkowicie uniemożliwiając zdalne ataki typu „push bombing” oraz kradzież danych uwierzytelniających.

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• Czym jest zmęczenie MFA (bombardowanie push)? – 21 lipca 2026 r.
• Studium przypadku DMARC MSP: Jak firma Adoptive Technologies zapewnia klientom scentralizowane zabezpieczenia poczty elektronicznej dzięki PowerDMARC – 17 lipca 2026 r.
• Jak skonfigurować DMARC w Google Workspace (Gmail) – 14 lipca 2026 r.