**Monivaiheisen todentamisen väsytyshyökkäys** (engl. *multi-factor authentication fatigue attack, MFA fatigue attack*) eli **MFA-pommitus** (engl. *MFA bombing*, myös *MFA spamming* eli MFA-spämmäys) on eräs sosiaalista manipulointia hyödyntävä verkkourkinnan (tietojenkalastelun) muoto. Siinä käyttäjää kuormitetaan monilla peräkkäisillä vilpillisesti ohjatuvalla monivaiheisen todentamisen (MFA) tunnistuspyynnöllä. Kaksivaiheinen tunnistautuminen on eräs monivaiheisen todentamisen muoto. MFA-pommitus on kyberhyökkäystapa, jonka tarkoituksena on harhauttaa käyttäjä syöttämään tunnistustietonsa valesivustolle ainakin kerran. Varastettujen tunnistustietoje avulla rikolliset pääsevät yksityishenkilön tai yrityksen laitteeseen (järjestelmään) ja käyttäjätilille. Onnistunutta tunkeutumista voi seurata esimerkiksi kiristyshaittaohjelman syöttäminen yritysjärjestelmään. MFA-spämmiä voi edeltää käyttäjätiedon keruu erilaisin menetelmin.

Monivaiheisen todentamisen väsytyshyökkäyksen avulla on kyberrikolliset ovat pyrkineet tunkeutumaan 2020-luvulla muun muassa Uberin, Microsoftin ja Applen käyttäjätileille.

Maaliskuussa 2024 raportoitiin muutamista Applen valmistamien iPhone-mobiililaitteiden käyttäjiin kohdistetusta MFA-pommitusyrityksistä. Käyttäjät pyrittiin saamaan uusimaan (resetoimaan) Apple ID -tunnuksensa. Koska ilmoitus tuli käyttäjien iPhoneen, he eivät päässeet käyttämään mobiililaitettaan jolleivat he joko hylkää tai hyväksy tunnuksien uusimispyyntöä. Eräs hyökkäyksestä raportoinut, tekoälysovellusten parissa työskentelevä oli kertonut saaneensa yli sata tälläistä ilmoitusta. Pian tämän jälkeen hänelle oli vielä soitettu valepuhelu Applen tukipuhelimelta vaikuttavasta numerosta, ja häntä oli kehoitettu uusimaan Apple ID -tunnuksensa. Valesoittajalla olivat paljon muualta kerättyä käyttäjätietoa, jolla hän pyrki vakuuttamaan uusimispyynnön tulevan aidosti Applen tukipalvelusta. Mikäli käyttäjä erehtyisi uusimaan Apple ID -tunnuksensa kyberrikollisen lähettämän kertakäyttöisen koodin avulla, hyökkääjä voisi päästä uusimaan käyttäjätilin salasanan ja lukita käyttäjän ulos laitteestaan ja jopa pyyhkiä käyttäjän kaikkien Apple-laitteiden sisällön. Hyökkääjä saattaa tavoitella esimerkiksi tietoa, rahaa, tai jopa Applen lahjakortteja.

Applen mukaan käyttäjien ei tulisi hyväksyä uusimispyyntöä tälläisessä tilanteessa vaikka pyyntö toistuisi lukuisia kertoja. Yrityksen mukaan hyvä nyrkkisääntö on, ettei pyyntöä Applen salasanan resetoinnista pitäisi tulla ellei käyttäjä itse ole yrittämässä uusia Applen salasanaa.

Lähteet
-------

1. ↑  MFA (MFA tarkoittaa tietoturvaan liittyen todentamista vähintään kahta eri menetelmää käyttäen. Termin suomenkielinen nimitys on monivaiheinen todentaminen; monivaiheinen todennus; monimenetelmäinen todentaminen; tai monimenetelmäinen todennus) *Kyberturvallisuuden sanasto*. TEPA-termipankki, termipankki.fi. Viitattu 29.3.2024. (suomeksi)
2. 1 2 3 4  MFA Fatigue Attack beyondtrust.com. Viitattu 29.3.2024. (englanniksi)
3. 1 2  Sergiu Gatlan: Microsoft enforces number matching to fight MFA fatigue attacks *bleepingcomputer.com*.  8.5.2023. Viitattu 29.3.2024. (englanniksi)
4. 1 2 3 4 5 6  Ana Altchek: There's a new scam targeting iPhone owners with a barrage of notifications *Business Insider, businessinsider.com*.  28.3.2024. Viitattu 29.3.2024. (englanniksi)
5. 1 2  Ana Altchek: Recent ‘MFA Bombing’ Attacks Targeting Apple Users  28.3.2024. krebsonsecurity.com. Viitattu 29.3.2024. (englanniksi)