MFA Fatigue: Multi-Factor Authentication Request Generation (T1621)
La tecnica T1621 descrive l'abuso dei meccanismi di autenticazione a più fattori attraverso la generazione ripetuta di richieste di approvazione verso l'utente legittimo. L'attaccante, già in possesso di credenziali valide ottenute tramite phishing, infostealer o credential stuffing, si scontra con il secondo fattore e tenta di aggirarlo bombardando la vittima di push notification su Duo, Microsoft Authenticator, Okta o soluzioni analoghe.
La collocazione nella tattica TA0006 (Credential Access) riflette la natura ibrida dell'attacco: non è un furto tecnico di token, ma una manipolazione psicologica che sfrutta l'affaticamento decisionale. Dopo decine di prompt notturni, o accompagnati da telefonate di finto IT support, l'utente cede e approva. In alcuni scenari il vettore si estende al self-service password reset, dove la generazione automatica di codici viene innescata senza credenziali preesistenti.
L'impatto operativo è significativo: 3 gruppi APT documentati (APT29, LAPSUS$, Scattered Spider) hanno utilizzato questa tecnica con successo contro target enterprise, e almeno una campagna nota (C0027) contro il settore telco e BPO tra giugno e dicembre 2022 ha dimostrato l'efficacia del metodo combinato con SIM swapping e social engineering vocale. La contromisura non è puramente tecnica: richiede la sostituzione dei fattori push-approve con number matching, hardware token FIDO2 o codici OTP contestuali.
In un ingaggio red team autorizzato, la simulazione di MFA fatigue richiede il possesso preventivo di credenziali valide raccolte in fase di initial access, tipicamente tramite phishing con framework come Evilginx2 (open source) o Modlishka (open source), che intercettano sessioni MFA tramite reverse proxy. Una volta ottenute username e password, l'operatore verifica il tipo di secondo fattore configurato sul tenant Microsoft 365 o sull'IdP Okta.
Per Azure AD/Entra ID, uno script Python basato su MSAL o l'utility AADInternals (open source) permette di generare richieste di autenticazione ripetute contro l'endpoint OAuth2 device code o resource owner password credentials flow. Un semplice loop che invoca Invoke-AADIntUserPWDLogin con le credenziali della vittima ogni 30 secondi produce una raffica di push notification sull'app authenticator del bersaglio. Per Okta, il tool okta-mfa-bypass e script custom che colpiscono l'endpoint /api/v1/authn con il verify factor push replicano lo stesso pattern.
La catena tipica prevede tre fasi. La prima è la ricognizione dell'MFA policy: identificare se il tenant usa push semplice, number matching, o hardware key. Solo il push semplice è vulnerabile all'attacco. La seconda è il timing: campagne efficaci concentrano i prompt in orari notturni o durante meeting, quando la vittima tende ad approvare per silenziare le notifiche. La terza fase, spesso combinata, prevede una vishing call in cui l'operatore si finge helpdesk e chiede di approvare il prompt "per completare un aggiornamento di sicurezza".
Su Linux e macOS il vettore è identico perché l'attacco colpisce il servizio cloud, non l'endpoint. Per ESXi il target sono le vCenter integrate con SSO federato, dove le stesse tecniche funzionano se il fattore è push-based.
Strumenti utili in laboratorio includono GoPhish (open source) per la fase phishing iniziale, Burp Suite Community (freemium) per intercettare e replicare le chiamate MFA API, e Postman (freemium) per lo scripting delle richieste ripetute. In ambiente controllato, l'attività va sempre tracciata con logging completo e coordinata con il blue team, poiché genera alert massicci nei SIEM enterprise. Il valore dell'esercizio sta nel dimostrare che credenziali valide + push MFA = compromissione probabile, e nel giustificare la migrazione a FIDO2 o number matching obbligatorio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.