Monivaiheisen todentamisen väsytyshyökkäys () eli MFA-pommitus (, myös MFA spamming eli MFA-spämmäys) on eräs sosiaalista manipulointia hyödyntävä verkkourkinnan (tietojenkalastelun) muoto. Siinä käyttäjää kuormitetaan monilla peräkkäisillä vilpillisesti ohjatuvilla monivaiheisen todentamisen (MFA) tunnistuspyynnöillä. Kaksivaiheinen tunnistautuminen on eräs monivaiheisen todentamisen muoto. MFA-pommitus on kyberhyökkäystapa, jonka tarkoituksena on harhauttaa käyttäjä syöttämään tunnistustietonsa valesivustolle ainakin kerran. Varastettujen tunnistustietojen avulla rikolliset pääsevät yksityishenkilön tai yrityksen laitteeseen (järjestelmään) ja käyttäjätilille. Onnistunutta tunkeutumista voi seurata esimerkiksi kiristyshaittaohjelman syöttäminen yritysjärjestelmään. MFA-spämmiä voi edeltää käyttäjätiedon keruu erilaisin menetelmin.
Monivaiheisen todentamisen väsytyshyökkäyksen avulla on kyberrikolliset ovat pyrkineet tunkeutumaan 2020-luvulla muun muassa SolarWindsin, Microsoftin, VMwaren, Uberin ja Applen käyttäjätileille. Tunnistettujen MFA-pommitushyökkäyksen tekijöiden joukossa on ollut esimerkiksi verkkokiristyksiä tehtaileva koodarinuorten ryhmä sekä Venäjän tiedustelupalveluihin liitetty Cozy Bear -ryhmittymä. Jälkimmäinen oli muun muassa SolarWinds-, Microsoftin- ja VMware-järjestelmien tunnisteiden kautta tunkeutunut moniin Yhdysvaltain liittovaltion keskeisiin siviili- ja sotilassektorin järjestelmiin.
iPhone-käyttäjien MFA-pommitus Maaliskuussa 2024 raportoitiin muutamista Applen valmistamien iPhone-mobiililaitteiden käyttäjiin kohdistetusta MFA-pommitusyrityksistä. Käyttäjät pyrittiin saamaan uusimaan (resetoimaan) Apple ID -tunnuksensa. Koska ilmoitus tuli käyttäjien iPhoneen, he eivät päässeet käyttämään mobiililaitettaan jolleivat he joko hylänneet tai hyväksyneet tunnuksen uusimispyyntöä. Eräs hyökkäyksestä raportoinut, tekoälysovellusten parissa työskentelevä henkilö oli kertonut saaneensa yli sata tälläistä ilmoitusta. Pian hänelle oli vielä soitettu valepuhelu Applen tukipuhelimelta vaikuttavasta numerosta, ja häntä oli kehotettu uusimaan Apple ID -tunnuksensa. Valesoittajalla olivat paljon muualta kerättyä käyttäjätietoa, jolla hän pyrki vakuuttamaan uusimispyynnön tulevan aidosti Applen tukipalvelusta. Mikäli käyttäjä erehtyisi uusimaan Apple ID -tunnuksensa (käyttäjätunnus ja salasana on ensimmäisen vaiheen todennustapa) toisen vaiheen tunnisteena kyberrikollisen lähettämää kertakäyttöistä koodia, hyökkääjä voisi päästä uusimaan käyttäjätilin salasanan ja lukita käyttäjän ulos laitteestaan ja jopa pyyhkiä käyttäjän kaikkien Apple-laitteiden sisällön. Hyökkääjä saattaa tavoitella esimerkiksi tietoa, rahaa tai jopa Applen lahjakortteja.
Applen mukaan käyttäjien ei tulisi hyväksyä uusimispyyntöä tälläisessä tilanteessa vaikka pyyntö toistuisi lukuisia kertoja. Yrityksen mukaan hyvä nyrkkisääntö on, ettei pyyntöä Applen salasanan resetoinnista pitäisi tulla ellei käyttäjä itse ole yrittämässä uusia Applen salasanaa.
Lähteet
Luokka:Tunnistautuminen Luokka:Tietotekniikkarikollisuus