Een aanvaller verkreeg het wachtwoord van een medewerker, herhaalde de aanmelding tientallen keren en bestookte de smartphone van de medewerker met meldingen die om goedkeuring vroegen. De medewerker raakte geïrriteerd en drukte zonder nadenken op „Goedkeuren”. Welke tegenmaatregel tegen deze aanval is het meest passend?

Antwoord: C. Het invoeren van het op het scherm getoonde nummer in de app en limieten op massale verzoeken invoeren, en medewerkers meldingen laten melden die ze niet zelf hebben veroorzaakt

Dit soort aanval heet MFA-vermoeidheidsaanval (push bombing) en buit de zwakte uit van methoden waarbij de authenticatie al voltooid is door in een melding op „Goedkeuren” te drukken. Bij number matching is goedkeuren onmogelijk zonder het nummer in te voeren dat op het aanmeldscherm wordt getoond, dus gebruikers die zich niet zelf hebben aangemeld, kunnen niet goedkeuren. Maatregelen zoals massale verzoeken in korte tijd stoppen, de locatie en de applicatie in de melding tonen en gebruikers meldingen laten melden die ze niet zelf hebben veroorzaakt, worden gecombineerd. Fundamenteler stappen organisaties over op methoden die bestand zijn tegen phishing, zoals passkeys van FIDO2, die niet op nepsites of voor de aanmelding van iemand anders kunnen worden gebruikt.