Pengantar

Multi-Factor Authentication (MFA) dirancang untuk memberikan lapisan keamanan tambahan selain password. Namun, mekanisme MFA berbasis push notification dapat dimanfaatkan oleh attacker melalui serangan yang dikenal sebagai MFA Fatigue Attack atau MFA Push Bombing.

Dalam serangan ini, attacker mengirimkan banyak permintaan autentikasi kepada korban hingga korban merasa terganggu, bingung, atau tidak sengaja menekan tombol Approve. CISA menjelaskan bahwa teknik ini dapat dilakukan dengan membombardir pengguna menggunakan notifikasi MFA sampai pengguna menerima permintaan tersebut (dikutip dari: CISA – Brute Force and Credential Access Activity).

Apa Itu MFA Fatigue Attack?

MFA Fatigue Attack adalah serangan social engineering yang memanfaatkan kelelahan pengguna akibat menerima permintaan MFA secara berulang.

Sederhananya, attacker mencoba login menggunakan username dan password korban. Ketika sistem meminta MFA, attacker terus mengirimkan permintaan push ke perangkat korban.

Alurnya dapat digambarkan seperti berikut:

Password Korban Diperoleh
          ↓
Attacker Login
          ↓
MFA Push Dikirim
          ↓
Push Dikirim Berulang Kali
          ↓
Korban Lelah / Bingung
          ↓
Approve
          ↓
Attacker Mendapatkan Akses

Bagaimana Serangan MFA Fatigue Terjadi?

1. Attacker Mendapatkan Kredensial

Serangan biasanya dimulai dengan memperoleh username dan password melalui phishing, password spraying, credential stuffing, atau kebocoran data.

2. Attacker Mencoba Login

Attacker menggunakan kredensial tersebut pada layanan yang dilindungi MFA.

Jika password benar, sistem meminta faktor autentikasi kedua.

baca juga : Linux eBPF (Extended Berkeley Packet Filter): Teknologi Kernel untuk Networking, Observability, dan Security Modern

3. Permintaan MFA Dikirim Berulang

Attacker kemudian memicu permintaan push berulang kali ke perangkat korban.

Notifikasi yang terus muncul dapat membuat korban berpikir bahwa sistem sedang mengalami masalah atau menganggap salah satu permintaan sebagai notifikasi login yang sah.

4. Korban Menyetujui Permintaan

Jika korban menekan Approve, attacker dapat berhasil melewati lapisan MFA dan mendapatkan akses ke akun.

Mengapa MFA Fatigue Berbahaya?

Memanfaatkan Faktor Manusia

MFA memang meningkatkan keamanan, tetapi mekanisme push notification tetap melibatkan keputusan pengguna.

Attacker tidak harus mengeksploitasi kerentanan teknis yang rumit. Mereka dapat mencoba mengeksploitasi ketidaktelitian, kebingungan, dan kelelahan pengguna.

CISA juga mengategorikan push bombing sebagai salah satu risiko pada MFA berbasis push notification tanpa perlindungan tambahan (dikutip dari: CISA – Implementing Phishing-Resistant MFA).

Tanda-Tanda MFA Fatigue Attack

Beberapa tanda yang perlu diperhatikan antara lain:

  • Menerima notifikasi login yang tidak dilakukan.
  • Permintaan MFA muncul berkali-kali.
  • Notifikasi berasal dari lokasi atau perangkat yang tidak dikenal.
  • Terjadi permintaan MFA pada jam yang tidak biasa.
  • Pengguna tiba-tiba menerima notifikasi login setelah mengakses situs mencurigakan.
  • Terdapat aktivitas login yang tidak dikenali setelah MFA disetujui.

Jika pengguna tidak sedang melakukan login, jangan pernah menyetujui permintaan MFA tersebut.

Cara Mencegah MFA Fatigue Attack

Gunakan Number Matching

Salah satu perlindungan yang efektif adalah number matching.

Alih-alih hanya menekan tombol Approve, pengguna harus memasukkan angka yang ditampilkan pada halaman login ke aplikasi authenticator.

Login Page
   ↓
Menampilkan: 42
   ↓
Authenticator
   ↓
Masukkan: 42
   ↓
Approve

Metode ini membuat attacker lebih sulit mengeksploitasi persetujuan MFA secara tidak sengaja. Microsoft juga menerapkan number matching sebagai perlindungan terhadap MFA fatigue pada Microsoft Authenticator (dikutip dari: Microsoft Learn – Protecting authentication methods).

Gunakan Phishing-Resistant MFA

Organisasi juga sebaiknya mempertimbangkan FIDO2/WebAuthn atau teknologi MFA berbasis public key.

CISA merekomendasikan organisasi untuk menggunakan atau merencanakan migrasi menuju phishing-resistant MFA, seperti FIDO/WebAuthn dan solusi berbasis PKI.

baca juga : Shimcache Forensics: Membongkar Jejak Eksekusi Program di Windows untuk Investigasi Digital

Edukasi Pengguna

Pengguna perlu memahami satu aturan sederhana:

“Jika Anda tidak sedang login, jangan approve permintaan MFA.”

Selain itu, pengguna harus mengetahui prosedur pelaporan ketika menerima permintaan MFA yang mencurigakan.

Apa yang Harus Dilakukan Jika Terjadi?

Jika pengguna secara tidak sengaja menyetujui MFA yang tidak dikenali, segera:

  1. Batalkan sesi login yang mencurigakan.
  2. Ganti password akun.
  3. Periksa perangkat yang terdaftar.
  4. Periksa metode MFA yang ditambahkan.
  5. Periksa aktivitas login.
  6. Laporkan kepada tim IT atau security.
  7. Cabut sesi atau token yang mencurigakan jika tersedia.

Organisasi juga perlu memeriksa apakah attacker telah menambahkan perangkat atau metode autentikasi baru setelah akun berhasil dikompromikan.

baca juga : HTTP/2 Multiplexing: Cara Kerja dan Rahasia di Balik Koneksi Web yang Lebih Cepat

Kesimpulan

MFA Fatigue Attack menunjukkan bahwa penggunaan MFA saja belum tentu cukup jika mekanisme autentikasinya masih mudah dimanipulasi melalui social engineering.

Attacker dapat memanfaatkan push notification berulang untuk membuat korban lelah hingga akhirnya menyetujui permintaan login yang sebenarnya tidak mereka lakukan.

Untuk mengurangi risiko, organisasi sebaiknya menggunakan number matching, phishing-resistant MFA seperti FIDO2/WebAuthn, monitoring aktivitas login, serta edukasi pengguna.

MFA tetap menjadi lapisan keamanan yang sangat penting. Namun, implementasi dan cara penggunaannya harus dirancang agar tidak memberikan celah bagi attacker untuk mengeksploitasi faktor manusia.

Related Posts: