Un attaquant a obtenu le mot de passe d'un employé, a répété la connexion des dizaines de fois et a inondé le smartphone de l'employé de notifications demandant une approbation. Agacé, l'employé a appuyé machinalement sur « Approuver ». Quelle contre-mesure à cette attaque est la plus appropriée ?

Réponse : C. Mettre en place la saisie dans l'application du nombre affiché à l'écran et une limitation des demandes en masse, et faire signaler les notifications que l'employé n'a pas déclenchées

Ce type d'attaque s'appelle attaque par fatigue MFA (push bombing) ; elle exploite la faiblesse des méthodes où l'authentification s'achève par un simple appui sur « Approuver » dans une notification. Avec la correspondance de nombres (number matching), l'approbation est impossible sans saisir le nombre affiché sur l'écran de connexion ; un utilisateur qui ne s'est pas connecté lui-même ne peut donc pas approuver. On combine des mesures comme l'arrêt des demandes en masse sur une courte durée, l'affichage du lieu et de l'application dans la notification et le signalement par les utilisateurs des notifications qu'ils n'ont pas déclenchées. Plus fondamentalement, les organisations passent à des méthodes résistantes à l'hameçonnage, comme les clés d'accès (passkeys) FIDO2, qui ne peuvent pas être utilisées sur de faux sites ni pour la connexion de quelqu'un d'autre.