MFA Fatigue und Push Bombing: Wenn der Genehmigungs-Prompt selbst zum Angriff wird
Multi-Faktor-Authentifizierung funktioniert am besten, wenn der zweite Faktor etwas Durchdachtes verlangt. Ein Push-Prompt verlangt weit weniger: einen einzigen Tipp. MFA-Fatigue-Angriffe, auch Push Bombing genannt, nutzen genau diese Lücke. Wer bereits ein gültiges Passwort besitzt, löst Anmeldeversuche immer wieder aus und überflutet das Telefon des Ziels mit Freigabe-Anfragen, bis eine bestätigt wird — aus Reflex, aus Genervtheit oder in dem Glauben, dass das Bestätigen die Prompts endlich zum Schweigen bringt.
Wie ein Push-Bombing-Angriff abläuft
Das Muster ist in allen dokumentierten Fällen ähnlich. Der Angreifer startet mit woanders gestohlenen Zugangsdaten — in Massen verkaufte Infostealer-Logs sind eine häufige Quelle — und prüft, ob das Passwort noch funktioniert. Dann wiederholt er die Anmeldeversuche und erzeugt Push-Benachrichtigungen auf dem registrierten Gerät des Opfers. Jeder Prompt sieht identisch mit einem legitimen aus, und Jahre harmloser täglicher Freigaben haben viele Nutzer darauf trainiert, fast gedankenlos zu bestätigen. Oft kommt eine zweite Ebene hinzu: ein Anruf oder eine Nachricht von jemandem, der sich als IT-Support ausgibt und dem Ziel erklärt, die Prompts würden aufhören, wenn er sie bestätigt. Aus Nutzersicht ist das gezielt verwirrend. Ein Push-Prompt gibt sich aus, als hätte der Nutzer die Anmeldung selbst gestartet, doch nichts an der Benachrichtigung beweist, wer es tat. Im Prinzip ist der Prompt eine Sicherheitskontrolle; in der Praxis ist er eine Nachricht auf Ihrem Bildschirm, die jeder erzeugen kann, der Ihr Passwort besitzt — immer wieder, bis die Ermüdung den Rest tut. Solche Prompts als nicht vertrauenswürdige Eingabe zu behandeln, ist genau die Denkgewohnheit, die diese Angriffe aushebeln.Uber, September 2022: der Lehrbuchfall
Das meistzitierte Beispiel bleibt der Uber-Einbruch von September 2022. Wie TechCrunch berichtete, führte Uber den Vorfall auf einen Hacker zurück, der Lapsus$ zugerechnet wird, und erklärte, das Firmenpasswort eines externen Auftragnehmers sei möglicherweise auf einem Darknet-Marktplatz gekauft worden — laut Berichten aus Logs der RedLine-Infostealer-Malware. Das Passwort allein reichte nicht, denn das Konto verlangte einen zweiten Faktor. Der Angreifer löste über eine Stunde lang Push-Prompts aus, kontaktierte dann den Auftragnehmer über WhatsApp als angeblicher Uber-IT-Mitarbeiter und sagte ihm, die Benachrichtigungen würden aufhören, sobald er sie bestätige. Das Ergebnis beschrieb der Angreifer gegenüber TechCrunch in einem Satz:And well, he accepted and I added my device.Mit dieser Bestätigung registrierte der Angreifer sein eigenes Gerät für die MFA und gelangte über das VPN ins interne Netz von Uber. Wie BleepingComputer dokumentierte, breitete sich der Zugriff schnell aus: Im Slack von Uber erschien eine Nachricht, die den Einbruch verkündete, und der Angreifer erreichte Cloud-Konsolen, die Windows-Domain und die HackerOne-Tickets des Unternehmens, wo er Berichten zufolge private Schwachstellenberichte herunterlud, bevor der Zugriff gekappt wurde. Auf einem Netzlaufwerk legte ein PowerShell-Skript Admin-Zugangsdaten für Ubers PAM-Plattform offen und öffnete weitere Geheimnisse. TechCrunchs Berichterstattung wies darauf hin, dass Number Matching dort, wo es darauf ankam, Berichten zufolge nicht aktiv war.
Cisco: derselbe Hebel, anders angesetzt
Ciscos Incident-Response-Team Talos dokumentierte im selben Jahr einen Parallelfall. Am 24. Mai 2022 wurde Cisco auf eine Kompromittierung aufmerksam, die mit dem privaten Google-Konto eines Mitarbeiters begann, in dem über Chrome gespeicherte Firmenzugangsdaten synchronisiert worden waren. Der Angreifer kombinierte Voice-Phishing-Anrufe unter der Ausgabe einer vertrauenswürdigen Support-Organisation mit wiederholten MFA-Push-Anfragen, bis eine bestätigt wurde — und erhielt VPN-Zugang. Talos hielt mit mittlerer bis hoher Konfidenz fest, dass es sich um einen Initial-Access-Broker handelte, der UNC2447, Lapsus$ und den Yanluowang-Ransomware-Betreibern zugerechnet wird, und beschrieb die Aktivität als Pre-Ransomware: erst Zugriff, später Monetarisierung. Zwei Vorfälle, dieselbe Tür: der Push-Prompt, unter Druck bestätigt.Number Matching und die Stufen der Gegenmaßnahmen
Die Gegenmaßnahmen sind gut verstanden. CISAs Leitfaden stellt klar: „Phishing-resistente MFA ist der Standard, den alle Branchenführer anstreben sollten, aber jede MFA ist besser als keine MFA.“ Die Behörde nennt FIDO/WebAuthn als die einzige breit verfügbare phishing-resistente Option und empfiehlt, wo das nicht machbar ist, „Numbers-Matching-MFA, um mobile Push-Bombardements zu blockieren“. Microsoft hat Number Matching inzwischen zum Standard gemacht für seine Authenticator-Push-Benachrichtigungen: Der Anmeldebildschirm zeigt eine Zahl, und die Bestätigung verlangt, diese Zahl in die App einzutippen. Ein Prompt ohne Kontext hat keine Zahl zum Eintippen — genau deshalb vereitelt das Verfahren die blinde Bestätigung.- Behandeln Sie jeden unerwarteten Prompt als nicht vertrauenswürdige Eingabe: ablehnen, melden und das getestete Passwort ändern.
- Ziehen Sie Faktoren, die eine bewusste Handlung verlangen — Authentifizator-Codes oder Hardware-Keys — dem simplen Tipp-zur-Freigabe-Push vor.
- Lassen Sie Arbeits- oder hochwertige Zugangsdaten nie in ein persönliches Browser-Profil synchronisieren; genau durch diese Lücke kam Ciscos Angreifer herein.
- Reservieren Sie Hardware-Security-Keys für die wichtigsten Konten; wie TechCrunch berichtete, hielten sie bei Cloudflare einem ähnlichen Angriff stand.