MFA fatigue e push bombing: quando o aviso de aprovação se torna o ataque
A autenticação multifator funciona melhor quando o segundo fator exige algo deliberado. Um aviso de aprovação por push exige muito menos: um único toque. Os ataques de MFA fatigue — também chamados de push bombing — exploram essa lacuna. Um atacante que já tem uma senha válida dispara tentativas de login repetidamente, inundando o telefone da vítima com pedidos de aprovação até que um seja aceito, por reflexo, por irritação ou na expectativa de que aprovar faça os avisos finalmente pararem.
Como funciona um ataque de push bombing
O padrão se repete nos casos documentados por equipes de segurança. O atacante parte de credenciais roubadas em outro lugar — logs de infostealers vendidos a granel são uma origem comum — e confirma que a senha ainda funciona. Em seguida, tenta entrar repetidamente, gerando notificações push no dispositivo registrado da vítima. Cada aviso é idêntico a um legítimo, e anos de aprovações diárias inofensivas treinaram muitos usuários a aprovar quase sem pensar. As campanhas costumam adicionar uma segunda camada: uma ligação ou mensagem de quem se passa por suporte de TI, orientando o alvo a aceitar os avisos para que parem. Do lado do usuário, isso desorienta por design. O aviso se apresenta como se o próprio usuário tivesse iniciado o login, mas nada na notificação prova quem o fez. Em tese, o aviso é um controle de segurança; na prática, é uma mensagem na sua tela que qualquer pessoa com a sua senha pode gerar — e gerar de novo — até que a fadiga faça o resto. Tratar esse aviso como entrada não confiável é exatamente a mudança mental que esses ataques driblam.Uber, setembro de 2022: o caso de manual
O exemplo mais citado continua sendo o breach da Uber em setembro de 2022. Como reportou o TechCrunch, a Uber atribuiu a intrusão a um hacker ligado ao Lapsus$ e disse que a senha corporativa de um contratado externo pode ter sido comprada num mercado da dark web, segundo os relatos oriunda de logs do infostealer RedLine. A senha sozinha não bastava, porque a conta exigia um segundo fator. O atacante disparou avisos push por mais de uma hora e depois contactou o contratado pelo WhatsApp, fingindo ser a TI da Uber, dizendo que as notificações parariam se ele as aceitasse. O resultado, o atacante resumiu ao TechCrunch em uma frase:And well, he accepted and I added my device.Com essa aprovação, o atacante registrou o próprio dispositivo para a MFA e entrou na rede interna da Uber pela VPN. Como documentou o BleepingComputer, o acesso se expandiu rápido: uma mensagem anunciando o breach apareceu no Slack da Uber, e o atacante alcançou consoles de nuvem, o domínio Windows e os tickets da HackerOne da empresa, de onde baixou, segundo os relatos, relatórios privados de vulnerabilidades antes que o acesso fosse cortado. Num compartilhamento de rede, um script PowerShell expunha credenciais de administrador da plataforma de acesso privilegiado da Uber. A cobertura do TechCrunch apontou que o number matching, segundo os relatos, não estava ativo onde importava.
Cisco: a mesma alavanca, usada de outro jeito
A equipe de resposta a incidentes da Cisco, a Talos, documentou um caso paralelo no mesmo ano. Em 24 de maio de 2022, a Cisco ficou sabendo de um comprometimento que começou na conta pessoal do Google de um funcionário, onde credenciais corporativas salvas no Chrome estavam sincronizadas. O atacante combinou ligações de vishing passando-se por uma organização de suporte confiável com pedidos push de MFA repetidos até que um fosse aceito, dando acesso pela VPN. A Talos avaliou, com confiança moderada a alta, que o ator era um corretor de acesso inicial ligado a UNC2447, Lapsus$ e aos operadores do ransomware Yanluowang, e descreveu a atividade como pré-ransomware: primeiro o acesso, depois a monetização. Dois breaches, a mesma porta: o aviso push, aprovado sob pressão.Number matching e a escada de mitigações
As mitigações são bem compreendidas. A orientação da CISA é direta: "a MFA resistente a phishing é o padrão que todos os líderes do setor devem buscar, mas qualquer MFA é melhor que nenhuma". O órgão cita FIDO/WebAuthn como a única opção resistente a phishing amplamente disponível e, onde isso não é viável, recomenda "MFA com number matching para bloquear o bombardeio push móvel". A Microsoft tornou o number matching o padrão para as notificações push do Authenticator: a tela de login mostra um número e aprovar exige digitar esse número no app. Um aviso fora de contexto não tem número para digitar — é exatamente por isso que a técnica derrota a aprovação às cegas.- Trate cada aviso inesperado como entrada não confiável: negue, reporte e troque a senha que ele estava testando.
- Prefira fatores que exigem ação deliberada — códigos do autenticador ou chaves de hardware — ao push simples de um toque.
- Nunca sincronize credenciais de trabalho ou de alto valor num perfil pessoal de navegador; o atacante da Cisco entrou exatamente por aí.
- Reserve chaves de segurança de hardware para as contas mais importantes; segundo o TechCrunch, foram elas que seguraram um ataque semelhante na Cloudflare.