大量の通知を受信し続けるユーザーは、その量の多さに圧倒され、疲れ果て、何とか通知を止めたいという心理を悪用しているということか

なるほどねえ

CY-SIRTからも全社に注意喚起を行いました。

「MFA Fatigue（多要素認証疲れ）」と言われる。これが起きている時は、ID/Passwordが攻撃者に漏れているとみられる。至急、最低でもパスワードの変更を行うべきであろう。

気になる今日のニュース

「天井から他人の音楽が流れる」スピーカー仕様にユーザー困惑 アイリスオーヤマ「ペアリング制御追加を検討」

かしこい。人の心理を上手く使っている。

MFA Fatigueを多要素認証疲れと訳すとイマイチ意味が分かりにくい問題があるな。かといってもっと良い意訳は思いつかないけども。うーん、

📋
> 故意にログイン試行を繰り返すことで確認通知を何度も執拗（しつよう）に受信させ、相手を疲れ果てさせて承認に追い込む。

見てる：「従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる。その従業員が承認すれば、MFAポータルにアクセスして、別の端末を登録できる」

これってAuthentificatorアプリ使ってれば対処できるやつかな SMS認証は駄目ってこと考えるとヤフーのパスワードレス認証も駄目な気が

[タレ]Uberへの不正アクセスは「MFA Fatigue（多要素認証疲れ）」攻撃だった
先日、米Uber Technologiesへの不正アクセス被害が報じられたが、その方法が「MFA Fatigue（多要素認証疲れ）」攻撃だったことが報じられている

最後の砦のはずの人がハックされてるのか、多要素認証。
で対策がパスワード流出気をつけましょうは笑ってしまうなぁ。

やはり一番の弱点は人間・・・
-----…

ワロタ

「 )
なるほどー、確認必須だからタイミングウィンドウを持たずに攻略通知が山のように送りつけられることで、自分たちの設備から代理攻撃されるのか…（・ω・；

リークする人ってほんまクソやなぁ

やっぱり多要素認証としてSMSを使うのは筋が悪いし、そもそも10回以上連続で認証に失敗してもロックされないシステムは設計がおかしい。
⇒

MFAが悪いみたいな話にならなきゃいいが……

（そもそもパスワード盗られてる時点で、MFAがなければ初手で侵入されてるわけで）

元々パスワードが漏洩したことが原因だけど、パスワードを変更しようにも多要素認証が必要という話か --

多要素認証疲れって初めて聞いたけど気をつけないとなぁ…

MFAをそう使って突破するのか。嫌なところを突いてくる、侵略者はアイデアマンだな（褒めてない）。攻撃手法を知ることが防衛の一歩と思うけどキツイですねえ。

MFA Fatigueの手口ではこれを逆手に取り、故意にログイン試行を繰り返すことで確認通知を何度も執拗（しつよう）に受信させ、相手を疲れ果てさせて承認に追い込む。

1番脆弱なのは人間ということです。

> 故意にログイン試行を繰り返すことで確認通知を何度も執拗（しつよう）に受信させ、相手を疲れ果てさせて承認に追い込む。

結局人間が脆弱

次から次に抜け道を考えるものだ。パスワードが抜かれた前提にはなるが，数回2FAに失敗したらロックする時間を指数関数的に延ばして，即時応答しないようするぐらいしか対策が思い浮かばないな。

>「従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる。その従業員が承認すれば、MFAポータルにアクセスして、別の端末を登録できる」

えぐ....😨

多要素認証疲労攻撃……多要素認証を設定しているアカウントに対して、承認要求のプッシュ通知を送りまくる攻撃。

パスワードレス認証が普及した場合も使われそうな攻撃

頭いいよなぁ。やはり攻撃者の方が考えている。「寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる」 『

“故意にログイン試行を繰り返すことで確認通知を何度も執拗に受信させ、相手を疲れ果てさせて承認に追い込む”

多要素認証は完璧なように見えますが、人の心理をついた攻撃手法があるようです。

連続した認証要求のブロックとか、新たな対策がMFAには必要なようだね。

通知自体をオフにしてその間にパスワード変える、アカウントを変えるなどすればよかったのでは
あとはシステム側のDOS対策になりそう

すごいな。

この記事をおすすめしました "

これは狙われたくない…

GTAの新作の画像やソースコードがリークした事件で使われたのは「多要素認証疲れ」攻撃とのこと。

近年セキュリティ認証は高度になっており、複数端末での認証を掛けるが、これを深夜に大量に送り、錯乱させた状態で承認させるという人間心理につけこんだ攻撃だとか。怖。

利用者側でパスワード再設定が可能なら、それで通知はおさまりそう。
多要素認証を解除するのだけは、絶対に避けましょう。解除するとそのまま攻撃者にログインされてしまいます…

『「従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる。その従業員が承認すれば、MFAポータルにアクセスして、別の端末を登録できる」』

「故意にログイン試行を繰り返すことで確認通知を何度も執拗（しつよう）に受信させ、相手を疲れ果てさせて承認に追い込む」

結局は人間の脆弱性

時間当たりの通知回数の制約や、通知するタイプの多要素認証自体の見直しが必要そうなのかな。TOTPとか承認者主導のやり方にすべきというのか

通知きて身に覚えがなくパスワード変更しようとしても通知が埋もれてパスワード変更すらできないというパワープレイらしい。実際やられたらサポートに連絡するしかないのかな？

我々が夜遅くまで起きているのは、この手の攻撃👇を警戒してのことだってセキュリティーのプロが言ってました。

“従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる”

＜次に攻撃者はUberのIT担当者を装ってこの従業員に連絡を取り、通知を止めたければ承認するよう指示した＞

そっちも狙いか。混乱しているところにきたら、従ってしまうだろうな。

「従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる。その従業員が承認すれば、MFAポータルにアクセスして、別の端末を登録できる」

『故意にログイン試行を繰り返すことで確認通知を何度も執拗（しつよう）に受信させ、相手を疲れ果てさせて承認に追い込む。』

おおお...。

"

SMSで送られてきた承認URLをクリックするタイプのMFAで、ひたすらMFAを試してSMSを送った挙句にIT管理者を装って承認すれば止まるよと伝えてとどめを刺すらしい。

“これを足掛かりにUberのVPNにアクセスを確立し、自分の端末を登録。ネットワーク内部に侵害を広げていき、別の弱点を見つけて管理者権限も乗っ取った。”これがすごい。一担当者のアカウントからこんなことできるん

MFA Fatigue（多要素認証疲れ）攻撃→

詳細
想像以上の頻度で、こりゃミスタップもするし、サポート装って誘導もされますわ…

「疲れ」ってサーバ負荷とかじゃなくて人間に対してか。

そんな力押しみたいな……と衝撃を受けた

対策のためのパスワード変更の通知も埋もれるというのは自分でやろうするから。管理者に連絡すれば大抵のツールはパスワードリセットなりアカウント休止なりできる。違和感を感じたらすぐ相談するのが良い。

つか、２段階認証の番号発行通知が３回とか５回以上使われなかった場合、ロックかけた方がいいよな。

ハッキング、いやクラックングというのは人間要素によるものなんだというのを地で行くようなやり方だな。

なるほどそういう手法が

ID/PWの認証が突破されてて連続攻撃受けた時点でPW変更すべき。PW変更のための認証が区別つかない⇒区別つきそうだけど。。。

なるほど。こういう手もあるのか。 自分からIT担当者に連絡してパスワードリセットしてもらうのがいいかな。

これ、Authyとかのコード型の認証は大丈夫だと思うんだけど、インスタのリセットのリンクとかは危ないんだろな。

[タレ]GTA新作リークで用いられた『多要素認証疲れ』攻撃

攻撃者はUberのIT担当者を装ってこの従業員に連絡を取り、通知を止めたければ承認するよう指示

どこかのセキュリティコンサルが多要素必須とか言ってましたが、万全のセキュリティ対策をしても、最後は人が判断することには変わりがないという、脆弱性ですね。

多要素認証疲れ。どんな技術でも突破できると受け取れるが、違う見方だとMFAは技術だけでは突破出来ないということですね。

「MFA Fatigueは、攻撃側が「人間」の弱さを突いて、その対策をかいくぐる手口を見つけ出している現状を物語る。」

プッシュ通知が10回とか連続で来た時点でシステム側でアカウントロックして利用者にメールとかできないもんかな

物理キーなら問題ないのにね。

頻繁にログイン確認するサービスはこの攻撃をみて改めてほしい。Yahooとか。

これはつらい

新手のソーシャルハッキングだよなぁ。いつの時代も人間が1番脆弱

一番の脆弱性は人間なんだな…と痛感する。

えぐい。

パスワード認証失敗 5 回で 1 時間ロックするみたいな実装を、多要素認証無視 5 回でも実装すれば良いだけでは？

非現実的なことを言うと、スマホの電源を切れば通知も電話も来なくなるよ。

先日配信したGTAに関係するニュース記事。多要素認証疲れについても触れられていますね。パスワード流出時の対策を徹底するなど、注目されています。🤔

🔽配信🔽

これエグいよな～

＞攻撃者はプッシュ通知を大量に送る“多要素認証疲れ”を手口に利用していた。

そんなんあるんか…

SMS/電話認証は昔から安全とは言い切れないことが指摘されていたと思うし、レートリミットをかけたりMFAをSMSではなくAuthenticatorやスマートカードで行うようにするしか方法がなさそう。

MFAも万能ではないのか。

MFAは仮想MFAデバイスに限るな
知らんけど

"多要素認証疲れ"攻撃なんてあるのかー

(｡･ω･｡)ﾉ

セキュリティホールはいつだって人間

多要素認証疲れかー
今使っているある証券会社、出金する際に Authenticator のナンバーを要求する、まではいいんだけどその後認証メール送ってきてそれをクリックしないとダメってなっててダルいの思い出した

精神攻撃w

ログイン回数制限くらいしとけよ

色々考えるもんだなぁ

思ってたよりアナログで笑う

興味深い記事。どんなに堅牢性を高めても結局は対人間。いくらでも突破できる。もはや多要素認証の２要素は機能していない。指紋や静脈認証（What you are）でないと危ない。

まぁそうだわな

管理が杜撰なままだった某MSアカウントでこれをされたことがある。30秒に1度Authenticaterに通知が来て地獄だった。しかもなんのサービスの認証が分からず対応が送れた。

SMSだとずーっとくるからくっそだるく感じるわなぁ。

陰鬱だ

1時間以上プッシュ通知が出続けるのは苦痛😱
最後の砦は人間です


…

最高に嫌らしい攻撃だな

、、、人間の根負けって、アナログな攻撃だな、、、

[B!] うひええ

心理をうまく突いてる手法

正面突破していく発想は面白い