Bayangkan pukul 2 pagi, karyawan menerima rentetan notifikasi autentikasi di ponselnya. Setengah mengantuk, ia menekan tombol “Setujui”—dan penyerang pun lolos. Inilah skenario khas serangan MFA fatigue (dikenal juga sebagai push bombing atau prompt spamming) yang semakin sering menembus pertahanan perusahaan.
Apa itu Serangan MFA Fatigue?
Serangan MFA fatigue adalah teknik rekayasa sosial yang mengeksploitasi notifikasi autentikasi multifaktor (MFA) berbasis dorongan/push. Alih-alih meretas sandi, penyerang membombardir korban dengan permintaan persetujuan login hingga korban lelah dan tanpa sengaja menekan tombol persetujuan.
Bagaimana alurnya
- Penyerang memperoleh kredensial awal (misalnya dari kebocoran data atau phishing).
- Ia mencoba login berulang ke layanan perusahaan yang memicu notifikasi MFA push.
- Korban menerima notifikasi bertubi-tubi (kadang disertai pesan, panggilan, atau chat palsu untuk menambah tekanan).
- Begitu korban menekan “Setujui”, akses penyerang langsung sah—tanpa perlu melewati sandi tambahan.
Variasi lain mencakup consent phishing pada aplikasi OAuth atau kombinasi dengan adversary-in-the-middle (AiTM) untuk mencuri token sesi, namun inti taktiknya tetap: memaksa persetujuan melalui kelelahan dan kebiasaan pengguna.
Mengapa Push Bombing Efektif terhadap Manusia
Teknik ini bekerja karena memanfaatkan psikologi pengguna, bukan lubang teknis murni.
- Decision fatigue: Keputusan kecil berulang menurunkan kewaspadaan. Di malam hari atau saat sibuk, standar kehati-hatian turun drastis.
- Notifikasi overload: Ponsel sudah padat notifikasi. Satu dorongan tambahan sering dianggap rutin.
- Otoritas merek: Notifikasi datang dari aplikasi tepercaya (autenticator resmi), sehingga korban merasa aman.
- Tekanan waktu: Penyerang menambahkan urgensi palsu (mis. “IT sedang uji login”), mendorong reaksi cepat alih-alih verifikasi.
Kombinasi faktor ini membuat push-based MFA rentan disalahgunakan jika tidak dilengkapi kontrol tambahan.
Taktik Deteksi Dini di Lingkungan Anda
Mendeteksi serangan MFA fatigue memerlukan korelasi log dari penyedia identitas (IdP), sistem endpoint, dan SIEM. Fokuskan pada pola yang jarang terjadi pada perilaku normal pengguna.
Indikator teknis yang perlu diwaspadai
- Ledakan permintaan MFA: >5–10 permintaan push dalam 5–10 menit untuk akun yang sama.
- Rasio tolak/terima janggal: Banyak penolakan beruntun lalu satu persetujuan.
- Lokasi/IP abnormal: Permintaan berasal dari IP asing, datacenter anonim, atau lokasi tak wajar (impossible travel).
- Perangkat baru: Persetujuan datang dari perangkat yang belum terdaftar/terkelola MDM.
- Jam akses tak lazim: Lonjakan notifikasi di luar jam kerja pengguna tersebut.
Telemetri prioritas untuk dianalisis
- Log IdP (permintaan MFA, hasil, IP, user agent, geolokasi).
- Log aplikasi autentikator (jika tersedia) dan MDM/EMM untuk validasi perangkat.
- SIEM dengan alerting berbasis ambang dan deteksi anomali perilaku.
Buat aturan peringatan bertingkat: pemberitahuan dini ke SOC pada 3–5 penolakan beruntun, eskalasi otomatis ke blokir sementara saat mencapai ambang yang lebih tinggi. Sesuaikan ambang dengan profil risiko dan pola kerja tim Anda.
Praktik Pencegahan yang Disarankan
Tujuannya adalah menghilangkan persetujuan impulsif dan memperkuat bukti kepemilikan perangkat.
- Aktifkan number matching: Minta pengguna memasukkan angka yang tampil di layar login ke aplikasi autentikator. Ini menghentikan persetujuan buta.
- Batasi push; gunakan MFA tahan phishing: Utamakan kunci keamanan FIDO2 atau passkey pada akun berisiko tinggi. Simpan push sebagai cadangan terakhir.
- Rate limiting & lockout: Blokir sementara MFA push setelah X kegagalan/permintaan dalam jangka pendek. Tawarkan kanal verifikasi alternatif yang lebih aman.
- Conditional access: Izinkan persetujuan hanya dari perangkat terkelola/terdaftar, jaringan tepercaya, atau lokasi yang dikenali.
- Minimalkan faktor yang dapat diganggu: Nonaktifkan verifikasi via panggilan suara/SMS untuk akun sensitif; pilih TOTP atau kunci perangkat.
- Pelatihan mikro yang relevan: Ajarkan aturan sederhana: “Jangan pernah menyetujui permintaan MFA yang tidak Anda mulai.” Simulasikan push bombing secara berkala.
- Hardening perangkat: Lindungi layar kunci, nonaktifkan pratinjau notifikasi sensitif, dan pastikan autentikasi biometrik/ PIN kuat pada ponsel.
Pencegahan terbaik adalah menurunkan ketergantungan pada persetujuan pasif dan menaikkan gesekan di titik yang tepat—hanya bagi percobaan login berisiko.
Prosedur Respons Insiden Saat Serangan Terjadi
Saat mendeteksi pola MFA prompt spamming, bertindak cepat untuk memutus rantai serangan.
- Stabilkan: Bekukan akun sementara atau paksa step-up ke faktor tahan phishing (mis. kunci FIDO2). Cabut semua sesi aktif.
- Verifikasi pengguna: Hubungi pemilik akun via kanal yang telah disepakati. Konfirmasi apakah mereka memulai login. Ingatkan untuk tidak menyetujui permintaan apa pun sementara waktu.
- Forensik ringkas: Tinjau log IdP untuk IP, lokasi, user agent; korelasikan dengan endpoint. Cari tanda kebocoran sandi atau token sesi.
- Perbaiki kredensial: Reset sandi, rotasi rahasia aplikasi, dan pastikan pendaftaran ulang faktor dengan kebijakan yang diperketat (number matching, perangkat terkelola).
- Tindak lanjut: Perbarui aturan deteksi, kencangkan ambang rate limit, dan bagi pembelajaran ke tim. Jika perlu, blokir rentang IP/ASN berisiko.
Dokumentasikan insiden ke dalam runbook agar respons berikutnya lebih cepat dan konsisten.
Kesimpulan: Serangan MFA fatigue bukan kelemahan teknologi murni, melainkan celah pada kebiasaan pengguna. Dengan deteksi dini berbasis pola, kontrol pencegahan seperti number matching, akses kondisional, dan adopsi MFA tahan phishing, organisasi bisa mematahkan taktik push bombing sebelum tombol “Setujui” ditekan. Jadikan latihan singkat dan penguatan kebijakan sebagai rutinitas—karena kelelahan pengguna adalah peluang emas bagi penyerang.
