MFA fatigue: cos'è l'attacco e come si previene

L'MFA fatigue (detto anche MFA bombing o push bombing) è un attacco in cui chi ha già rubato una password tenta l'accesso a ripetizione, così che il telefono dell'utente riceva una notifica di approvazione dopo l'altra. Prima o poi l'utente tocca Approva, per errore, per stanchezza o perché pensa che la richiesta sia legittima, e l'attaccante entra con un secondo fattore valido. Si riduce con il number matching, con un limite alle notifiche e, sugli account critici, con un'MFA resistente al phishing.

Qui sotto: come funziona, i casi documentati, cosa cambiare nella configurazione, come si riconosce nei log e cosa fare se qualcuno ha già approvato.

Come funziona un attacco MFA fatigue

L'attacco sfrutta l'MFA basata su notifica push, quella in cui l'app sul telefono chiede solo di toccare Approva o Rifiuta. Il fact sheet CISA Implementing Number Matching in MFA Applications (ottobre 2022) descrive il flusso normale in tre passaggi: l'utente inserisce nome utente e password, la piattaforma di identità manda un segnale all'app sul telefono, l'utente apre la notifica e approva. L'attacco si inserisce proprio lì:

1. La password c'è già. Secondo CISA può arrivare da un password spraying, da un archivio di credenziali sottratte a un altro sito o da altri metodi.
2. I tentativi di accesso si ripetono. Con la password giusta, ogni tentativo genera una notifica. CISA scrive che in poco tempo se ne possono generare centinaia sul dispositivo dell'utente.
3. L'utente cede. Approva per sbaglio, per far smettere le notifiche, oppure perché è confuso e crede che una delle richieste sia sua.
4. L'attaccante entra con una sessione autenticata: per i sistemi è l'utente.

MITRE ATT&CK cataloga la tecnica come Multi-Factor Authentication Request Generation (T1621), nella tattica di accesso alle credenziali. Nella sua descrizione il bombardamento non passa solo dalle notifiche push: può usare anche SMS e telefonate. MITRE segnala anche un caso in cui la password non serve: se le notifiche push sono abilitate per il reset self-service della password, l'attaccante può generarle partendo da lì.

La variante con la telefonata

Le notifiche possono arrivare insieme a una telefonata. L'advisory congiunto di FBI, CISA e agenzie partner sul gruppo Scattered Spider (AA23-320A, aggiornato il 29 luglio 2025) descrive attaccanti che si presentano come IT o help desk per farsi dare credenziali e codici OTP, e che inviano notifiche MFA ripetute finché il dipendente non preme Accetta. Lo stesso advisory segnala anche il percorso inverso: fingersi il dipendente con l'help desk per ottenere un reset della password e il trasferimento dell'MFA su un dispositivo loro. Le forme di phishing vocale sono descritte in tipi di phishing.

Perché funziona

Perché chiede all'utente una sola decisione, presa di fretta. CISA indica due meccanismi: il fastidio, che porta ad accettare per far smettere le richieste, e la confusione, per cui l'utente presume che una delle richieste sia legittima.

La NIST SP 800-63B-4 (luglio 2025), le linee guida statunitensi sull'autenticazione digitale, chiama il fenomeno authentication fatigue e lo mette nell'elenco delle minacce agli autenticatori: un utente approva una richiesta push fraudolenta per far cessare le richieste ripetute. Per questo il NIST considera non più accettabile il metodo in cui l'utente confronta il codice ricevuto sui due canali e approva sul telefono: aumenta la probabilità che approvi senza fare davvero il confronto.

Casi documentati

• Uber, settembre 2022. Nel suo aggiornamento sull'incidente Uber scrive che l'attaccante aveva probabilmente comprato sul dark web la password aziendale di un collaboratore esterno, esposta da un malware sul suo dispositivo personale. Ha poi tentato più volte l'accesso: ogni tentativo produceva una richiesta di approvazione, che all'inizio ha bloccato l'accesso, finché il collaboratore ne ha accettata una. Uber ritiene che l'attaccante sia legato al gruppo Lapsus$.
• APT29, LAPSUS$ e Scattered Spider. Sono i gruppi che MITRE elenca tra gli esempi di T1621, con richieste MFA ripetute o inviate in massa fino all'approvazione.
• Attori iraniani contro infrastrutture critiche. L'advisory AA24-290A di CISA, FBI e agenzie partner (16 ottobre 2024) riporta che da ottobre 2023 questi attori hanno usato password spraying e push bombing per compromettere account utente e ottenere accesso alle organizzazioni. Una volta dentro registravano spesso un proprio dispositivo come metodo MFA, per conservare l'accesso. Nella stessa campagna compare anche il kerberoasting, per raccogliere altre credenziali.

Nei casi di push bombing l'MFA, per definizione, c'era. Le leve sono altre: che tipo di MFA, quante richieste può ricevere un utente, chi guarda quelle richieste.

MFA fatigue, MFA bombing, push bombing: cambia qualcosa?

No, sono nomi diversi dello stesso attacco. CISA usa MFA fatigue e push bombing come sinonimi, e anche push fatigue. MITRE lo chiama Multi-Factor Authentication Request Generation, il NIST authentication fatigue.

Va invece distinto da altri modi di aggirare l'MFA che non richiedono di stancare nessuno:

• Phishing adversary-in-the-middle. Una pagina falsa si mette in mezzo tra utente e portale vero e ruba la sessione già autenticata. Qui l'utente approva una richiesta che ha avviato lui, solo che sta parlando con il sito sbagliato. Ne parla phishing: cosa significa per un'azienda.
• SIM swap e intercettazione dei codici. CISA cita lo sfruttamento del protocollo SS7 e il trasferimento del numero su una SIM controllata dall'attaccante: il codice via SMS arriva a lui.

La differenza conta perché le contromisure non coincidono: il number matching frena l'MFA fatigue, non il phishing in tempo reale.

Come si previene l'MFA fatigue

Number matching sulle notifiche push

Con il number matching la schermata di accesso mostra un numero, e per approvare l'utente deve digitarlo nell'app. CISA spiega perché funziona: senza vedere la schermata di accesso non si può approvare, e ogni tentativo genera un numero diverso, quindi bombardare l'utente non serve. I principali fornitori lo offrono con nomi diversi: CISA cita come esempi Microsoft Number Matching, Duo Verified Push e, per Okta, i codici TOTP di Okta Verify. Su Microsoft Authenticator, secondo la documentazione Microsoft Learn, il number matching è attivo su tutte le notifiche push.

Un dettaglio: la NIST SP 800-63B-4 considera insufficiente far scegliere il numero giusto da una breve lista, perché si può indovinare. Dove possibile, il numero si digita.

Controlla tutti i punti di accesso, non solo il portale

Un'azienda può avere il number matching sul portale principale e il vecchio Approva o Rifiuta altrove. La stessa pagina Microsoft Learn lo segnala per due casi: l'adapter AD FS su Windows Server senza gli aggiornamenti indicati, e l'estensione NPS per gli accessi RADIUS, che il number matching non lo supporta: dalla versione 1.2.2216.1 chiede un codice TOTP al posto di Approva o Rifiuta, ma solo a chi ne ha registrato uno. Vale per qualsiasi fornitore: si fa l'elenco di VPN, desktop remoti, federazioni e applicazioni che chiedono il secondo fattore e si verifica cosa vede l'utente in ciascuno.

Un limite alle notifiche e regole sull'origine dell'accesso

La NIST SP 800-63B-4 raccomanda di porre un limite ragionevole al numero di notifiche push inviate dall'ultimo accesso riuscito. MITRE suggerisce di cambiare le impostazioni predefinite in questo senso, e di usare l'accesso condizionale per bloccare tentativi da dispositivi non conformi, da reti esterne a quelle previste o da posizioni che non corrispondono a quella del telefono dell'utente.

MFA resistente al phishing per chi ha più privilegi

CISA definisce l'MFA resistente al phishing (FIDO/WebAuthn o autenticazione basata su PKI) la forma più sicura, e scrive che push bombing, SS7 e SIM swap non si applicano. Il number matching per CISA resta una misura transitoria, utile a chi non può passare subito alle chiavi FIDO. Una priorità ragionevole: amministratori, help desk, chi autorizza pagamenti, accessi remoti.

Rendi più difficile registrare un nuovo metodo MFA

Dopo l'accesso, la prima mossa descritta nell'advisory AA24-290A è registrare un dispositivo dell'attaccante come nuovo metodo MFA, approfittando di registrazioni lasciate aperte o del reset self-service della password. Aggiungere un metodo MFA o resettare una password dovrebbe richiedere a sua volta un'autenticazione forte, e l'help desk dovrebbe verificare l'identità di chi chiama su un canale noto prima di toccare l'MFA.

Una regola chiara per gli utenti

Le raccomandazioni di CISA e MITRE coincidono: approvare solo le richieste avviate da sé, guardare da dove arriva la richiesta, segnalare quelle inattese o arrivate in serie. Una notifica non richiesta va rifiutata e segnalata, non ignorata. Come costruire un percorso di formazione che regge nel tempo è in social engineering e formazione.

Come si rileva

CISA fa un'osservazione utile: il secondo fattore viene chiesto dopo che la password è stata accettata, quindi una notifica rifiutata può voler dire che la password è già compromessa. Per questo raccomanda di indagare sui rifiuti, non di archiviarli. Tra le analisi che MITRE associa a T1621 ci sono:

• molte richieste MFA per lo stesso utente in poco tempo, soprattutto da IP o posizioni insolite;
• tentativi di accesso falliti seguiti da richieste MFA in rapida successione;
• richieste MFA rifiutate o scadute che si ripetono sullo stesso account;
• dispositivo MFA e origine dell'accesso che non corrispondono.

A questi si aggiunge il segnale che arriva dopo: un nuovo metodo MFA registrato subito dopo un accesso riuscito. Stanno nei log dell'identity provider, e servono a poco se nessuno li guarda la sera o nel fine settimana. È il lavoro di un servizio di MDR: correlare quei segnali e intervenire mentre l'accesso è ancora fresco.

Se un utente ha già approvato

Se qualcuno segnala di aver accettato una notifica che non aveva avviato, l'ordine conta:

1. Chiudere le sessioni attive dell'account e reimpostare la password: con la password vecchia l'attaccante può ricominciare.
2. Controllare i metodi MFA registrati e togliere quelli che l'utente non riconosce.
3. Guardare cosa è cambiato nelle ore successive: regole di inoltro della posta, applicazioni autorizzate, accessi ad altre risorse, nuovi account.
4. Allargare la verifica: la password rubata può valere anche per altri servizi, e lo stesso utente può essere stato contattato al telefono.

Se l'azienda rientra nella NIS2, va valutato anche se l'episodio è un incidente da notificare: tempi e soglie sono in notifica degli incidenti NIS2.

MFA fatigue e NIS2

Il D.Lgs. 138/2024, all'articolo 24, comma 2, lettera l), mette l'autenticazione a più fattori o l'autenticazione continua tra gli elementi che le misure di gestione del rischio devono comprendere almeno, ove opportuno. Le misure di base ACN (determinazione 379907/2025, allegati 1 e 2) la rendono concreta con la misura PR.AA-03: le modalità di autenticazione vanno commisurate al rischio, considerando almeno i privilegi delle utenze, la criticità dei sistemi e il tipo di operazioni consentite, e per almeno i sistemi informativi e di rete rilevanti, in base alla valutazione del rischio, si usa l'autenticazione multifattore.

La nostra lettura: la norma non nomina l'MFA fatigue, ma chiede un'autenticazione commisurata al rischio. Un'MFA che si può superare premendo Approva sotto pressione, sugli account amministrativi o di accesso remoto, è difficile da presentare come commisurata.

In sintesi

L'MFA fatigue non buca l'autenticazione a più fattori: la usa contro l'utente, con richieste ripetute finché qualcuno approva. Presuppone una password già rubata, spesso si accompagna a una telefonata e, una volta dentro, l'attaccante cerca di registrare un proprio metodo MFA. Si riduce con il number matching su tutti i punti di accesso, un limite alle notifiche, l'accesso condizionale, l'MFA resistente al phishing per gli account con più privilegi, una registrazione dei metodi che chiede un'autenticazione forte e qualcuno che legge i log delle identità.

Se vuoi capire come sono configurati oggi l'MFA e gli accessi nella tua azienda, partiamo dal servizio di identity management e compliance di AmagisTech.