Angriffe und Betrug
MFA-Fatigue (Push-Bombing)
Angriff, bei dem Täter mit gestohlenem Passwort so viele MFA-Anfragen auslösen, bis das Opfer genervt oder versehentlich zustimmt.
Viele Betriebe nutzen eine Mehrfaktor-Anmeldung per Push-Nachricht: Nach dem Passwort erscheint am Handy die Frage „Anmeldung genehmigen?“, und ein Tipp auf „Ja“ genügt. Haben Angreifer das Passwort bereits, etwa aus einem Datenleck, fehlt ihnen nur noch diese Zustimmung. Bei MFA-Fatigue (Ermüdung) lösen sie die Anfrage deshalb immer wieder aus.
Das Handy vibriert dann in kurzen Abständen, manchmal mitten in der Nacht. Irgendwann tippt der Mitarbeiter auf „Genehmigen“, weil er an einen Fehler glaubt oder einfach Ruhe haben will. Manche Täter rufen zusätzlich an, geben sich als IT-Abteilung aus und erklären, man müsse nur einmal bestätigen, dann höre der Spuk auf.
Neuere Verfahren machen den Angriff deutlich schwerer. Beim Nummernabgleich muss am Handy eine Zahl eingetippt werden, die nur am Anmeldebildschirm steht. Zusätzlich zeigt die App, von wo die Anmeldung kommt. Noch besser schützen Passkeys, weil es dort keine Anfrage gibt, die man blind bestätigen könnte.
Für Ihren Betrieb
Sagen Sie allen Mitarbeitern klar: Eine MFA-Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und sofort gemeldet. Sie bedeutet, dass jemand das Passwort kennt.