MFA fatigue: cos’è e come proteggersi

Per anni il consiglio è stato uno solo: attiva l’autenticazione a più fattori e sei al sicuro. È ancora una delle misure più efficaci per proteggere gli account, ma non è più tutta la storia. Gli attaccanti hanno imparato infatti ad aggirare il secondo fattore senza doverlo violare tecnicamente, sfruttando la persona che lo utilizza. È la tecnica dell’MFA fatigue, che ha già permesso di colpire aziende come Uber e Cisco.

Il punto di partenza, ed è ciò che rende questo tema il naturale seguito del furto di credenziali, è che l’MFA fatigue presuppone che l’attaccante sia già in possesso della password dell’utente. È l’anello successivo di una filiera che può cominciare altrove — con un infostealer o con credenziali esposte sul dark web — e trovare nel secondo fattore l’ultimo ostacolo da superare. In questa guida vediamo cos’è l’MFA fatigue, come funziona e, soprattutto, come proteggersi davvero.

In questo articolo, gli esperti di Cyberment spiegano come funziona l’MFA fatigue, qual è il suo obiettivo e, soprattutto, quali accorgimenti adottare per proteggersi.

Cos’è l’MFA fatigue

«L’MFA fatigue — conosciuta anche come MFA bombing o push bombing — è una tecnica di attacco che prende di mira non un sistema, ma la pazienza di chi lo usa. L’attaccante, già in possesso di username e password della vittima, avvia ripetuti tentativi di accesso all’account: ogni tentativo genera una notifica push sul telefono dell’utente, quella schermata “Sei tu che stai accedendo? Approva / Rifiuta” tipica delle app di autenticazione. Ripetuta decine di volte, di notte, durante una riunione, la richiesta diventa un assillo — e prima o poi qualcuno tocca “Approva” per farla smettere, o per errore. A quel punto l’attaccante è dentro.

La particolarità è che, dal punto di vista tecnico, nulla si rompe: l’autenticazione funziona esattamente come dovrebbe. A cedere è l’anello umano, sfinito o distratto. È il motivo per cui l’MFA fatigue si classifica come attacco di ingegneria sociale più che come exploit informatico.

Come funziona e qual è il suo obiettivo

La sequenza è quasi sempre la stessa. Prima l’attaccante ottiene le credenziali — ed è la fase che avviene lontano dagli occhi della vittima: password rubata da un infostealer, acquistata in una combolist sul dark web, o carpita con il phishing. Poi le usa per tentare l’accesso, scatenando il flusso di notifiche push. Infine, quando la vittima approva, entra nell’account e da lì cerca di espandersi: nel caso Uber del 2022, il gruppo Lapsus$ è partito dalle credenziali VPN di un fornitore e, una volta dentro, ha raggiunto strumenti interni come i sistemi di collaborazione e le risorse finanziarie.

L’obiettivo, quindi, non è “stancare l’utente” come fine a sé stante: è ottenere l’accesso iniziale all’organizzazione. L’MFA fatigue è una porta d’ingresso, e ciò che segue è il vero danno — movimento laterale, furto di dati, nei casi peggiori ransomware. Spesso l’attacco si combina con il vishing: l’aggressore chiama la vittima fingendosi l’help desk IT e la “rassicura” invitandola ad approvare la notifica per “risolvere un problema tecnico”.

Perché il secondo fattore non basta

Qui sta il cuore della questione, e il motivo per cui questo attacco riguarda tutti. Non tutte le implementazioni di autenticazione a due fattori sono ugualmente sicure. Il metodo più diffuso — la notifica push con approva/rifiuta — è anche il più vulnerabile all’MFA fatigue, perché riduce l’autenticazione a un gesto binario che si può compiere distrattamente. Basta un tocco.

Questo non significa che la 2FA sia inutile, tutt’altro: senza di essa la password rubata darebbe accesso immediato. Significa che la 2FA va scelta bene, distinguendo i metodi robusti da quelli fragili. Ed è esattamente ciò che differenzia una difesa reale da una falsa sicurezza — lo stesso principio che avevamo visto parlando di come abilitare l’autenticazione a due fattori: attivarla è il primo passo, sceglierne la forma giusta è il secondo.

Come proteggersi: non tutti i fattori sono uguali

La difesa dall’MFA fatigue si gioca su due piani: la scelta tecnica del metodo e la consapevolezza delle persone. Sul piano tecnico, le misure che contano:

• Number matching: invece del semplice approva/rifiuta, l’app chiede di digitare un numero mostrato sullo schermo di chi sta accedendo. Un gesto in più che rende impossibile approvare per distrazione, e che da solo neutralizza gran parte degli attacchi push;
• Metodi resistenti al phishing: le passkey e le chiavi di sicurezza hardware (standard FIDO2) non generano notifiche da approvare e sono legate al dispositivo fisico, il che le rende immuni all’MFA fatigue — sono lo standard verso cui puntare per gli account critici;
• Limitazione dei tentativi: configurare i sistemi perché blocchino l’account o allertino il team di sicurezza dopo un numero anomalo di richieste ravvicinate, spezzando il “bombardamento” sul nascere;
• Monitoraggio degli accessi: picchi improvvisi di richieste, tentativi da posizioni geografiche insolite e segnalazioni degli utenti sono i segnali che permettono al team IT di intercettare una campagna in corso.

Ma la misura decisiva resta la formazione, perché l’MFA fatigue vince sul fattore umano.
Un dipendente che sa cosa significa ricevere notifiche push non richieste — che le riconosce come il segnale di una password già compromessa, e che sa di non dover mai approvare una richiesta che non ha avviato — vanifica l’attacco a monte. La regola da interiorizzare è semplice: una notifica di accesso che non avete richiesto non è un fastidio da chiudere, è un allarme. Non va approvata, va segnalata — e la password di quell’account va cambiata subito, perché il suo arrivo significa che qualcuno la conosce già.

In conclusione

L’MFA fatigue è la prova che in sicurezza non esistono soluzioni definitive, ma solo difese da mantenere aggiornate. L’autenticazione a due fattori resta indispensabile — ma va scelta nella sua forma robusta (number matching, passkey, chiavi hardware) e accompagnata dalla consapevolezza di chi la usa. Ed è anche un promemoria su dove comincia davvero l’attacco: non alla notifica push, ma molto prima, quando la password è stata rubata. Difendere le credenziali a monte — contro infostealer, phishing ed esposizioni sul dark web — è ciò che toglie all’MFA fatigue la sua materia prima.»

https://cyberment.it/sicurezza-delle-password/mfa-fatigue-cose-come-proteggersi/