Атака MFA fatigue: как повторяющиеся запросы ставят под угрозу безопасность Microsoft 365 и Azure

By Mirko Peters · 2026-04-26

В современных рабочих местах, ориентированных на Microsoft, многофакторная аутентификация (MFA) должна быть замком на вашей входной двери, не позволяя киберпреступникам проникнуть внутрь, просто получив ваш пароль…

Automatically translated with AI from the original post. Read the English original

В современных рабочих местах, ориентированных на Microsoft, многофакторная аутентификация (MFA) должна быть замком на вашей входной двери и не дать киберпреступникам проникнуть внутрь только из-за украденного пароля. Но появился новый приём: атака MFA fatigue. Её суть в том, что пользователя засыпают непрерывными запросами на подтверждение входа в надежде, что в какой-то момент он устанет и просто нажмёт «Подтвердить».

По мере того как всё больше организаций работают на Microsoft 365 и Azure, атакующие нацеливаются прямо на облако, где идентификация является ключом ко всему. Опасность в том, что атаки MFA fatigue не ломают систему, а ломают терпение людей: они обходят защиту, истощая самих пользователей. Поэтому такие атаки серьёзно угрожают как офисным, так и удалённым сценариям работы.

В этой статье рассказывается, что представляют собой такие атаки, как они работают на самом деле и почему нужно выйти за рамки традиционной MFA, чтобы надёжно защитить свой цифровой периметр.

Что такое атака MFA fatigue и почему это должно вас волновать?

Атаки MFA fatigue – это разновидность инженерной кибератаки, при которой злоумышленники злоупотребляют процессом многофакторной аутентификации, забрасывая вас повторяющимися запросами на вход. Их называют атаками «усталости», потому что после достаточного количества уведомлений большинство пользователей в конце концов ослабляют бдительность и подтверждают один из них, предоставляя преступникам доступ без какого-либо технического взлома.

Этот подход отличается от классических угроз, таких как password spraying или кража токенов. Атаки MFA fatigue опираются именно на перегрузку пользователя запросами, эксплуатируя доверие и привычки, заложенные в аутентификацию на основе push-уведомлений. В отличие от фишинга, который обманом заставляет вас передать учётные данные, эти атаки рассчитывают на усталость от решений и человеческую ошибку, что особенно характерно для крупных компаний, где усталость от запросов может остаться незамеченной в масштабах всей организации.

Вы также можете встречать такие термины, как «MFA bombing» или «MFA spamming». Это лишь подвиды, которые используют большой объём запросов для достижения того же результата. Такая тактика особенно эффективна в средах Microsoft 365 и Azure, где доступ к облаку и единый вход повсеместны. В одном из недавних инцидентов с Microsoft 365 злоумышленники использовали MFA fatigue в сочетании с кражей согласия OAuth и злоупотреблением сессионными токенами, что позволило им обойти даже надёжные средства защиты.

Главный вывод: если ваша организация полагается на push-уведомления или слабые методы MFA, вы становитесь приоритетной мишенью для таких атак. По мере того как всё больше бизнеса ведётся за пределами традиционного офиса, риск только растёт. Понимание MFA fatigue – это первый шаг к тому, чтобы закрыть эту брешь раз и навсегда.

Как на практике работают атаки MFA fatigue

1. Атака начинается с украденных учётных данных: Злоумышленник сначала получает действующие имя пользователя и пароль, часто через фишинг, вредоносное ПО для кражи данных (infostealer) или покупку на теневых форумах.
2. Злоумышленник запускает повторные запросы MFA: Используя украденные данные, он сразу пытается войти, что запускает систему MFA. Но вместо того чтобы остановиться, он многократно отправляет запросы на аутентификацию, порой десятки или сотни подряд, нацеливаясь на push-уведомление или приложение телефона жертвы.
3. Пользователь постоянно отвлекается: Жертва получает шквал неожиданных запросов MFA, где бы она ни находилась: на работе, дома, возможно, даже поздно ночью. Это раздражает, выбивает из колеи и изматывает.
4. Включаются когнитивная усталость и человеческая природа: По мере продолжения атаки внимательный пользователь может отвлечься, перестать реагировать или просто разозлиться. Достаточно одного случайного нажатия или намеренного подтверждения «лишь бы это прекратилось», чтобы защита была нарушена.
5. Злоумышленник получает доступ к ресурсам Microsoft 365/Azure: Получив подтверждение MFA, злоумышленник внутри. Оттуда он может повысить привилегии, похитить данные или перемещаться по сети, быстро закрепляясь в системе. В реальных случаях это часто сочетается с продвинутыми техниками, такими как злоупотребление OAuth или лазейки в условном доступе.
6. Последствия затрагивают всю среду: Если в вашей команде не выстроены чёткие политики или приходится разбираться с унаследованными исключениями, ущерб может многократно вырасти. Узнайте больше о том, как устранить долг по безопасности условного доступа, чтобы ваша защита работала на практике, а не только на бумаге.

Атаки с усталостью от MFA эффективны, потому что используют самое слабое звено цепочки: живых людей, которые пытаются делать свою работу. Схема атаки проста, но её последствия могут быть огромными.

Многофакторная аутентификация и её уязвимости

Многофакторная аутентификация (MFA) сегодня лежит в основе большинства проверок безопасности в организациях, особенно для пользователей Microsoft 365 и Azure. Общая идея довольно проста: вы подтверждаете, что являетесь именно тем, кем себя называете, предъявляя несколько факторов аутентификации, например пароль плюс что-то ещё (телефон или отпечаток пальца), а не только один.

Это работает, потому что атаковать два и более факторов должно быть намного сложнее, чем подобрать один пароль. Но реальность вносит коррективы: даже с этими дополнительными шагами злоумышленники проявляют изобретательность. Человеческие привычки, усталость от push-уведомлений и растущая зависимость от мобильных устройств открывают злоумышленникам новый путь, который не имеет ничего общего со взломом кодов и полностью связан с манипулированием вами.

Итак, MFA остаётся критически важным рубежом защиты и лучшей практикой для облачной безопасности, но она не непробиваема. Как вы скоро увидите, инженерные атаки вроде MFA fatigue превращают сильный инструмент безопасности в уязвимость, если пользователи не подготовлены, а системы плохо управляются. Если вы хотите сделать MFA надёжной без лишних неудобств для команды, ознакомьтесь с рекомендациями по эффективным конфигурациям безопасности Microsoft 365, которые защищают и пользователей, и данные.

Что такое многофакторная аутентификация и как она работает?

Многофакторная аутентификация, или MFA, добавляет дополнительные уровни подтверждения личности, чтобы убедиться, что вы действительно тот, за кого себя выдаёте. Прежде чем получить доступ к системе или учётной записи, пользователь должен предъявить два или более разных типа доказательств, которые называются факторами аутентификации.

Помимо пароля, MFA также запрашивает код с устройства, отпечаток пальца или другое подтверждение. Это простое усовершенствование устраняет большинство базовых атак на учётные данные, поэтому Microsoft, банки и облачные сервисы так активно на него опираются. При грамотной реализации MFA существенно снижает риск несанкционированного доступа и поддерживает принципы нулевого доверия.

Типы факторов аутентификации

• То, что вы знаете: Это ваш пароль или PIN-код. Это секрет, известный только вам, но слабый пароль легко украсть.
• То, что у вас есть: Например, мобильное устройство, аппаратный токен или ключ безопасности. Это уникальные физические предметы, которые находятся у вас, и обычно они используются как второй шаг.
• То, что вы собой представляете: Биометрия, такая как сканирование отпечатков пальцев, распознавание лица или голосовая идентификация. Эти факторы подтверждают вашу физическую личность, поэтому их сложно подделать или украсть.
• Проверка через приложение: Приложения-аутентификаторы, которые генерируют или получают коды и push-уведомления и позволяют пользователям быстро и гибко отвечать.
• Ключи безопасности (FIDO2): Аппаратные ключи, использующие криптографию с открытым ключом. Это лучший вариант для защиты от фишинга и атак с усталостью, особенно в сочетании с облачными платформами вроде Microsoft 365.

Методы атак: от MFA bombing до социальной инженерии

Сегодня недостаточно беспокоиться только о надёжных паролях: злоумышленники, нацеленные на MFA вашей организации, знают, что настоящее секретное оружие — это использование повседневных привычек вашей команды и естественного желания избавиться от раздражающих мелочей. В этом разделе рассматриваются основные методы, которые лежат в основе успешных атак с усталостью от MFA, с акцентом на массовую технику «bombing» и хитрые стратегии социальной инженерии.

В средах, где широко используется Microsoft, злоумышленники сочетают технологии и психологию, чтобы обойти даже лучшие системы защиты. Они могут начать с простой спам-атаки, отправляя потоки запросов на аутентификацию, или перейти к обману пользователей через целевые запросы и срочные социальные сигналы. Поскольку многие администраторы заняты устранением таких проблем, как Shadow IT, риски OAuth и разрастание приложений, эти тактики могут остаться незамеченными, если вы не будьте внимательны.

Разберём, как злоумышленники сочетают технические приёмы с социальной инженерией, используя всё: от усталости от запросов в облаке до путаницы пользователей. Хотите больше способов закрыть утечки? Ознакомьтесь с этим руководством по управлению неучтёнными приложениями и рисками доступа в M365.

Атаки MFA Bombing и MFA Spamming: объяснение

MFA bombing, или MFA spamming, — это когда злоумышленник многократно отправляет запросы подтверждения MFA на устройство пользователя. Цель — завалить человека таким количеством уведомлений, чтобы он раздражился, запутался или просто сдался и одобрил мошеннический запрос.

Даже при правильно настроенной MFA для учётных записей Microsoft эта атака работает, потому что большинство систем допускают несколько попыток аутентификации за короткий период. Пользователь получает непрерывный поток запросов, что приводит к усталости и в итоге к уступке. Речь идёт не о перебore паролей, а о переборе терпения.

Как злоумышленники используют человеческое поведение в атаках усталости от MFA

Настоящая сила атак усталости от MFA заключается не только в повторяющихся запросах, а в психологической манипуляции. Злоумышленники используют ваши естественные реакции на стресс, спешку и раздражение. Они знают: если сорвать ваш рабочий день достаточным количеством уведомлений, вы, скорее всего, действуете по привычке или из раздражения.

Например, злоумышленник может подгадать волну запросов к часам пик или к позднему вечеру, когда пользователи устали. Он может даже дополнить спам фишинговым сообщением («Это IT-отдел, пожалуйста, подтвердите MFA для срочных обновлений»), чтобы подтолкнуть пользователя нажать «Принять» для мошеннического входа. Наступает усталость от принятия решений, и достаточно одной ошибки.

Облачная экосистема Microsoft, где широко распространены единый вход и постоянные запросы аутентификации, может сделать это ещё труднее для пользователей. Когда рабочие процессы завязаны на приложения вроде Teams, SharePoint или Exchange, легко допустить усталость от запросов или привыкание к оповещениям, что злоумышленники и используют, чтобы обойти ваши защиты.

Риск усталости от MFA для удалённой и гибридной работы

Сейчас, когда удалённая и гибридная работа стала нормой, ситуация меняется. Работа из дома, кофейни или отели могут сделать людей гораздо более уязвимыми для атак усталости от MFA. Когда пользователи переключаются между личными и рабочими устройствами или входят в Microsoft 365 из необычных мест, у злоумышленников появляется больше возможностей для атаки.

Ваши сотрудники, скорее всего, входят в систему откуда угодно: из домашних сетей, общественного Wi-Fi или с мобильных точек доступа. Такие подключения не всегда так же защищены, как офисные. К тому же на личных устройствах могут не быть всех тех же защит, и это создаёт маленькие трещины в вашей броне, по которым злоумышленники любят бить.

Кроме того, организации с гибридными командами часто не успевают поддерживать политики доступа в актуальном состоянии и обеспечивать соответствие устройств требованиям для каждого пользователя и каждого сценария. Слишком много исключений или чрезмерно широких правил условного доступа становятся лазейками для злоумышленников. Ужесточение этих политик и обучение удалённых сотрудников распознавать поддельные запросы имеют решающее значение. Подробнее о базовых политиках и внедрении модели «нулевого доверия» см. руководство по созданию инклюзивного и надёжного условного доступа в Microsoft 365.

Расширение поверхности атаки в удалённых условиях

Когда инфраструктура распределена — домашний Wi-Fi, VPN и личные устройства, — злоумышленникам проще незаметно проникнуть внутрь. BYOD (bring your own device, «принеси своё устройство») означает, что ИT-команды теряют видимость и контроль, а пользователи могут пропускать важные обновления или устанавливать рискованные приложения.

Незащищённые сети, общие планшеты и неуправляемые конечные устройства расширяют поверхность атаки. Это особенно верно для гибридных и удалённых сотрудников, которые входят в облачные системы вне защищённой офисной среды. Злоумышленники целенаправленно атакуют таких пользователей, зная, что за пределами периметра организации их защита слабее.

Политики для снижения усталости от MFA в гибридных командах

• Принудительное применение условного доступа: используйте политики Microsoft Entra или Azure AD, чтобы требовать проверенные местоположения, соответствие устройств требованиям или запросы на основе риска до предоставления доступа. Практические стратегии см. в разделе Entra ID Conditional Access Security Loop.
• Проверка соответствия устройств: Разрешайте доступ только с устройств, которые соответствуют стандартам безопасности. Это снижает риски, связанные с устаревшим или неуправляемым оборудованием.
• Интеграция Zero Trust: Переходите к модели Zero Trust, которая объединяет управление идентификацией, состояние устройств и динамический контроль сеансов. Практические советы по проектированию можно найти в этом подкасте: Zero Trust by Design for Microsoft 365.
• Регулярное обучение и повышение осведомлённости: Регулярно обучайте сотрудников распознавать подозрительную активность MFA и сообщать о ней, особенно сотрудников, работающих удалённо и в гибридном формате.

Обнаружение и предотвращение атак усталости от MFA: лучшие практики

Когда вы поняли, как работают атаки усталости от MFA, следующий шаг — научиться их замечать и останавливать, пока они не привели к серьёзному инциденту. Раннее обнаружение сводится к тому, чтобы выявлять необычный всплеск запросов MFA, большое количество запросов для отдельных учётных записей или попытки входа с нетипичных мест или устройств.

В средах Microsoft подробные журналы аудита и оповещения в реальном времени в таких инструментах, как Microsoft Purview или Entra ID, помогают группам безопасности быстро находить признаки проблем. Обнаружение — это не только поиск перебора паролей: атаки усталости от MFA могут быть незаметными или растянутыми на несколько дней, поэтому требуются более продвинутая аналитика и мониторинг с учётом контекста.

Профилактика сочетает технологии и правильные привычки. Аутентификация на основе рисков, сопоставление чисел и вход без пароля могут ограничить злоупотребление устаревшими методами MFA. Тем временем обучение пользователей остаётся вашим лучшим «человеческим брандмауэром»: люди по-прежнему должны знать, как выглядит подозрительный запрос. Чтобы освоить аудит и управление на практике, ознакомьтесь с пошаговым руководством по аудиту в Microsoft Purview и лучшими практиками управления платформой.

Проверенные практики предотвращения и смягчения последствий для MFA-усталости

• Внедрите аутентификацию на основе рисков: Используйте системы, которые анализируют контекст входа (например, местоположение, время или устройство) и включают дополнительные меры защиты только при необходимости. Так злоумышленникам сложнее подделать активность реальных пользователей.
• Включите сопоставление чисел и вход без пароля: Используйте методы подтверждения с push-уведомлениями, которые требуют ввести число или коснуться ключа безопасности FIDO2, а не просто нажать «Подтвердить». Такие подходы препятствуют автоматическому подтверждению и снижают количество случайных подтверждений.
• Настройте параметры уведомлений: Тонко настройте пороговые значения для оповещений и эскалаций в Microsoft Defender и Entra ID, чтобы подозрительный объём запросов MFA сразу привлекал внимание групп безопасности.
• Повысьте осведомлённость о безопасности: Регулярно проводите обучение пользователей тому, как распознавать подозрительные запросы MFA, и объясняйте, почему никогда не нужно подтверждать неизвестные запросы, особенно в распределённых командах.
• Ужесточите политики условного доступа: Проверяйте политики на наличие устаревших исключений и переходите к понятным и последовательным правилам. Для ознакомления с подходом изучите материал Entra ID Conditional Access Security Loop о дисциплинированном управлении жизненным циклом политик.

Продвинутые решения безопасности: FIDO2, защита на основе ИИ и платформы безопасности идентификации

Если вы хотите выйти за рамки простых исправлений, пора присмотреться к продвинутым решениям, устойчивым к усталости от запросов, для клиентов Microsoft 365 и Azure. Первый кандидат — FIDO2, стандарт аутентификации на базе аппаратных устройств, который призван останавливать как фишинг, так и бесконечные запросы MFA. Также мы рассмотрим, как искусственный интеллект (ИИ) и поведенческая аналитика выявляют необычные схемы входа и автоматически блокируют подозрительные запросы.

Централизованные платформы безопасности идентификации, такие как Exabeam, поднимают эти механизмы защиты на новый уровень. Они объединяют обнаружение угроз для идентификации, аналитику и быстрое реагирование внутри крупных сред Microsoft. Каждый из этих инструментов даёт уникальное преимущество, если ваша цель — отсекать как действия киберпреступников, так и ошибки пользователей, причём до того, как они случатся, а не после.

Следите за обновлениями: мы расскажем подробнее о развёртывании FIDO2 и о защите на основе ИИ, которая заранее помечает подозрительные запросы аутентификации и помогает перейти от устаревшего MFA на основе запросов к более умным и безопасным системам.

FIDO2-ключи — решение проблемы усталости от MFA?

FIDO2-ключи часто считают золотым стандартом современной аутентификации. Эти физические ключи безопасности используют криптографию с открытым ключом, благодаря чему они почти невосприимчивы к фишингу и атакам с усталостью от MFA. При использовании FIDO2-ключа не нужно подтверждать push-уведомление: достаточно быстро коснуться ключа или вставить его, чтобы подтвердить свое присутствие.

Microsoft 365 и Azure изначально поддерживают FIDO2-ключи, поэтому организации могут развернуть их с опорой на интеграцию с платформой. А минусы? Массовое внедрение может потребовать инвестиций в новое оборудование и обучения пользователей, но большинство команд безопасности согласны, что это оправданный компромисс для чувствительных учетных записей и руководителей.

Использование ИИ-безопасности и поведенческой аналитики для остановки атак

Искусственный интеллект — мощный союзник в борьбе с атаками усталости от MFA. Системы безопасности на основе ИИ, такие как Microsoft Defender и Entra ID, автоматически выявляют аномальные шаблоны попыток входа: подозрительные местоположения, невозможные перемещения или внезапный поток запросов.

Поведенческая аналитика адаптируется со временем: она изучает, что является «нормальным» для каждого пользователя, и быстро замечает всё, что не укладывается в шаблон. Эти платформы не только распознают известные признаки атак, но и могут отклонять повторяющиеся или необычные запросы аутентификации еще до того, как пользователи их увидят. Для непрерывного мониторинга и соответствия требованиям см. Microsoft Defender for Cloud monitoring best practices.

Exabeam и единая защита идентификаторов в средах Microsoft

Exabeam — пример платформы, которая объединяет обнаружение угроз и реагирование на них в отношении идентификаторов в средах Microsoft. Благодаря интеграции с Microsoft 365 и Azure Exabeam обеспечивает централизованную видимость, расширенную аналитику и автоматическое сдерживание угроз, связанных с идентификаторами, в том числе атак усталости от MFA.

Такие платформы помогают командам безопасности повышать операционную эффективность и сокращать время реагирования, коррелируя события идентификации в облаке. Вместо ручной обработки каждого оповещения команды SOC получают приоритизированные и применимые на практике сведения о том, кто подвергается атаке и как её нейтрализовать, с использованием проверенных на практике плейбуков обнаружения атак, адаптированных для экосистем Microsoft.

Часто задаваемые вопросы, советы экспертов и следующие шаги для защиты от угроз завтрашнего дня

Вы уже видели, почему атаки усталости от MFA поднимаются в рейтингах рисков, и, вероятно, задаетесь вопросом, что можно сделать дальше, чтобы защитить свою среду. Этот заключительный раздел отвечает на самые распространенные вопросы об атаках усталости от MFA, предлагает рекомендации экспертов и указывает на практические следующие шаги.

Задаетесь вопросом, эффективна ли ещё MFA? Интересно, как отличить обычный запрос от атаки? Или вам нужен экспертный совет, как защитить пользователей Microsoft 365 и не осложнять им жизнь? Мы рассмотрели всё: от обнаружения и восстановления после инцидентов до технологий и политик, которые превращают уязвимую конфигурацию в надежную крепость.

Если вам нужен обзор основных настроек и лучших практик, которые помогают сочетать безопасность с удобством для пользователей, изучите это руководство по надежной безопасности Microsoft 365 без раздражения пользователей. Приведенные ниже ответы на частые вопросы, советы экспертов и резюме дают вам четкий план действий по противодействию атакам усталости от MFA как сегодня, так и по мере эволюции угроз завтра.

Часто задаваемые вопросы об атаках усталости от MFA

• Как распознать признаки атаки усталости от MFA? Обращайте внимание на внезапный всплеск активности запросов MFA, повторяющиеся запросы вне рабочего времени или жалобы пользователей на «странные» уведомления.
• MFA все еще эффективна? Да: MFA остается ключевым средством защиты, однако методы на основе запросов (особенно push-уведомления) могут быть уязвимы без дополнительных мер защиты.
• Что должны делать пользователи, если получают поток запросов? Немедленно отклоните их и сообщите о них. Никогда не подтверждайте запрос, который вы сами не инициировали, и сообщите в ИТ-службу, чтобы она могла оперативно отреагировать.
• Могут ли злоумышленники получить доступ без моего пароля? Только если уже скомпрометировали ваши учетные данные, но сочетание тактик усталости от MFA с фишингом, кражей токенов или захватом устройств повышает их шансы на успех.

Советы экспертов по безопасности и итоговые рекомендации

• Внедрите сопоставление номеров и FIDO2-ключи: откажитесь от старых методов «просто нажмите «подтвердить»» в пользу инструментов, устойчивых к фишингу и усталости.
• Внедряйте строгие и всеобъемлющие политики условного доступа: хватит прятаться за исключениями — пересмотрите все политики с точки зрения рисков.
• Регулярно проводите занятия по информированности пользователей: научите сотрудников распознавать подозрительную активность MFA и сообщать о ней.
• Проверяйте журналы аудита и отслеживайте аномалии: используйте Microsoft Purview и Sentinel для продвинутого обнаружения угроз.
• Подготовьте план реагирования на инциденты: знайте шаги локализации, расследования и восстановления до того, как атака произойдёт.

Вывод: действуйте сейчас против угроз завтрашнего дня

Отчёты по безопасности показывают растущую волну: более 15 % крупных компрометаций идентификации в 2023 году так или иначе были связаны с MFA fatigue или атаками на основе push-уведомлений. Решения, которые принимают люди, остаются ключевым звеном: атакующие побеждают, когда защита опирается только на технологии, а не на готовность и осведомлённость.

Уроки очевидны. Сочетание технологий (таких как FIDO2, аналитика на основе ИИ и надёжные политики) с постоянным обучением пользователей даёт организациям преимущество. Успех достигается благодаря проактивным изменениям: грамотным конфигурациям, понятным политикам и плану реагирования на инциденты, который не оставляет места для усталости и путаницы.

Относитесь к MFA fatigue не как к досадной мелочи: это развивающийся вектор атак, нацеленный на ваших пользователей, ваши данные и весь ваш бизнес. Действуйте сейчас и будьте готовы к тому, что будет дальше.