Атака MFA Fatigue: як повторні запити ставлять під загрозу безпеку Microsoft 365 і Azure

By Mirko Peters · 2026-04-26

У сучасних робочих середовищах, де домінують продукти Microsoft, багатофакторна автентифікація (MFA) має бути ніби замком на вхідних дверях, який не дає кіберзлочинцям потрапити всередину, навіть якщо вони вкрали ваш пароль…

Automatically translated with AI from the original post. Read the English original

У сучасних робочих середовищах, орієнтованих на Microsoft, багатофакторна автентифікація (MFA) має бути замком на вхідних дверях, який не дає кіберзлочинцям зайти всередину лише через викрадений пароль. Але з’явився новий прийом: атака MFA fatigue. Її суть проста: зловмисники засипають користувача безперервними запитами на підтвердження входу, розраховуючи, що рано чи пізно хтось втомиться і просто натисне «Підтвердити».

Оскільки дедалі більше організацій працюють на Microsoft 365 і Azure, атакувальники цілять прямо в хмару, де ідентичність є ключем до всього. Небезпека в тому, що атаки MFA fatigue ламають не систему, а терпіння людей: вони обходять захист, виснажуючи реальних користувачів. Саме тому такі атаки становлять серйозну загрозу як в офісі, так і при віддаленій роботі.

У цій статті розповідаємо, що являють собою ці атаки, як вони насправді працюють і чому для захисту свого цифрового «дому» потрібно виходити за межі традиційної MFA.

Що таке атака MFA Fatigue і чому вона має вас турбувати?

Атаки MFA fatigue — це різновид інженерних кібератак, у яких зловмисники зловживають процесом багатофакторної автентифікації, засипаючи вас повторними запитами на вхід. Їх називають атаками «втоми» (fatigue), адже після достатньої кількості сповіщень більшість користувачів зрештою опускає пильність і підтверджує один із них. Так злочинці отримують доступ без технічного зламу.

Цей підхід відрізняється від класичних загроз на кшталт password spraying чи крадіжки токенів. Атаки MFA fatigue спираються саме на перевантаження запитами, використовуючи довіру та звички, закладені в автентифікацію через push-сповіщення. На відміну від фішингу, який обманом змушує віддати облікові дані, ці атаки розраховують на втому від прийняття рішень і людські помилки. Особливо це стосується великих компаній, де втома від запитів може непомітно поширюватися на всю організацію.

Можна також почути терміни «MFA bombing» або «MFA spamming». Це лише підтипи, які використовують великі обсяги запитів для досягнення того самого результату. Ця тактика особливо ефективна в середовищах на кшталт Microsoft 365 і Azure, де скрізь використовуються хмарний доступ і єдиний вхід (single sign-on). В одному з останніх інцидентів з Microsoft 365 атакувальники поєднали MFA fatigue з викраденням згоди OAuth і зловживанням сесійними токенами, що дозволило їм обійти навіть надійні засоби контролю безпеки.

Головне: якщо ваша організація покладається на push-сповіщення або слабкі методи MFA, ви є привабливою ціллю для таких атак. Оскільки дедалі більше бізнес-процесів відбувається поза традиційним офісом, ризик лише зростає. Розуміння MFA fatigue — перший крок до того, щоб назавжди закрити цю загрозу.

Як атаки MFA Fatigue працюють на практиці

1. Атака починається з викрадених облікових даних: Спочатку зловмисник отримує чинні ім’я користувача та пароль, часто через фішинг, шкідливе ПЗ для крадіжки даних (infostealer) або купівлю в даркнеті.
2. Зловмисник ініціює повторні запити MFA: Використовуючи викрадений логін, він одразу намагається увійти, що запускає систему MFA. Але замість того, щоб зупинитися, він надсилає запити на автентифікацію знову і знову, часом десятки чи сотні поспіль, націлюючись на push-сповіщення або застосунок на телефоні жертви.
3. Користувач постійно відволікається: Жертва опиняється під градом несподіваних запитів MFA, де б вона не була: на роботі, вдома, а можливо, й пізно ввечері. Це дратує, виглядає недоречно і виснажує.
4. Настає когнітивна втома: Коли запити не припиняються, навіть уважний користувач може відволіктися, перестати реагувати або просто розлютитися. Достатньо одного випадкового дотику чи навмисного «підтвердити, щоб це припинилося», щоб захист був зламаний.
5. Зловмисник отримує доступ до ресурсів Microsoft 365/Azure: Щойно запит підтверджено, зловмисник усередині. Звідти він може підвищувати привілеї, виводити дані або рухатися мережею вбік (lateral movement), швидко закріплюючись у системі. У реальних випадках це часто поєднують із складнішими техніками, зокрема зловживанням OAuth або лазівками умовного доступу.
6. Наслідки поширюються на все середовище: Якщо ваша команда не встановила чіткі політики або досі працює з застарілими винятками, шкода може множитися. Дізнайтеся більше про те, як прибрати борг безпеки умовного доступу, щоб ваш захист працював на практиці, а не лише на папері.

Атаки втоми від MFA ефективні, тому що використовують найслабшу ланку ланцюга: звичайних людей, які намагаються виконати свою роботу. Ланцюг атаки простий, але наслідки можуть бути масштабними.

Розуміння багатофакторної автентифікації та її вразливостей

Багатофакторна автентифікація (MFA) сьогодні є основою більшості перевірок безпеки в організаціях, особливо для користувачів Microsoft 365 та Azure. Основна ідея доволі проста: ви доводите, що це справді ви, використовуючи кілька факторів автентифікації, наприклад пароль плюс щось інше (мобільний телефон або відбиток пальця), а не лише один із них.

Це працює, тому що зламати два або більше факторів мають бути значно складніше, ніж вгадати один пароль. Але тут починається реальність: навіть за наявності цих додаткових кроків зловмисники стають винахідливими. Людські звички, втома від запитів на підтвердження та зростаюча залежність від мобільних пристроїв відкривають їм новий шлях, який не має нічого спільного зі зломом кодів і повністю спирається на маніпулювання вами.

Отже, хоча MFA є критично важливим рубежем захисту й найкращою практикою для безпеки хмари, вона не є непробивною. Як ви незабаром побачите, інженерні атаки на кшталт втоми від MFA перетворюють потужний засіб безпеки на вразливість, якщо користувачі не підготовлені, а системи погано керуються. Якщо ви хочете зробити MFA максимально надійною, не дратуючи при цьому всю команду, ознайомтеся з рекомендаціями щодо ефективних конфігурацій безпеки Microsoft 365, які допоможуть захистити і користувачів, і дані.

Що таке багатофакторна автентифікація і як вона працює?

Багатофакторна автентифікація, або MFA, додає додаткові рівні підтвердження особи, щоб переконатися, що ви справді є тим, за кого себе видаєте. Вона вимагає від користувачів надати два або більше різних типи доказів, які називаються факторами автентифікації, перш ніж вони зможуть отримати доступ до системи чи облікового запису.

Окрім пароля, MFA також запитує код з пристрою, відбиток пальця або інше підтвердження. Це просте вдосконалення дає змогу відбити більшість базових атак на облікові дані, тому Microsoft, банки та хмарні сервіси так активно на неї покладаються. Коли її впроваджено добре, MFA значно зменшує несанкціонований доступ і підтримує принципи нульової довіри.

Типи факторів автентифікації

• Те, що ви знаєте: Це ваш пароль або PIN-код. Це секрет, відомий лише вам, але слабкий пароль легко викрасти.
• Те, що у вас є: Наприклад, мобільний пристрій, апаратний токен або ключ безпеки. Це унікальні фізичні предмети, які є у вашому розпорядженні, і зазвичай їх використовують як другий крок.
• Те, ким ви є: Біометрія, зокрема сканування відбитків пальців, розпізнавання обличчя або голосова ідентифікація. Ці фактори підтверджують вашу фізичну особу, тому їх важко підробити чи викрасти.
• Перевірка через застосунок: Застосунки-автентифікатори, які генерують або отримують коди та запити на підтвердження, забезпечуючи гнучку й швидку реакцію користувача.
• Ключі безпеки (FIDO2): Апаратні ключі, що використовують криптографію з відкритим ключем. Вони є найкращим варіантом для захисту від фішингу та втоми, особливо в поєднанні з хмарними платформами на кшталт Microsoft 365.

Методи атак: від MFA-бомбардування до соціальної інженерії

Недостатньо турбуватися лише про складні паролі: зловмисники, які атакують MFA вашої організації, знають, що справжня таємна зброя полягає в експлуатації щоденних процесів вашої команди та природного бажання позбутися незручностей. Цей розділ знайомить із основними методами, що стоять за успішними атаками втоми від MFA, з акцентом на масову техніку «бомбардування» та спритні стратегії соціальної інженерії.

У середовищах, де переважають продукти Microsoft, зловмисники поєднують технології та психологію, щоб обійти навіть найкращі налаштування безпеки. Вони можуть почати з базового спаму, надсилаючи потоки запитів на автентифікацію, або перейти до більш складних схем, обманюючи користувачів через цільові запити та терміновість. Оскільки багато адміністраторів зайняті гасінням пожеж, як-от Shadow IT, ризики OAuth і розростання застосунків, ці тактики можуть залишитися непоміченими, якщо ви не будете напоготові.

Ми розберемо, як зловмисники поєднують технічні методи із соціальною інженерією, використовуючи все: від втоми від запитів у хмарі до плутанини користувачів. Хочете більше способів закрити ці діри? Ознайомтеся з цим посібником про керування неавторизованими застосунками та ризиками доступу в M365.

Атаки MFA bombing і MFA spamming: пояснення

MFA bombing, або MFA spamming, — це коли зловмисник багаторазово надсилає запити на підтвердження MFA на пристрій користувача. Мета полягає в тому, щоб засипати людину таким потоком сповіщень, аби вона розізлилася, розгубилася або просто здалася й схвалила шахрайський запит.

Навіть за ідеально налаштованої MFA для облікових записів Microsoft ця атака працює, адже більшість систем дозволяють кілька спроб автентифікації за короткий проміжок часу. Користувач отримує безперервний потік запитів, що призводить до втоми та зрештою до поступки. Справа не в грубій силі, а в грубому виснаженні терпіння.

Як зловмисники використовують людську поведінку в атаках втоми від MFA

Справжня сила атак втоми від MFA полягає не лише в повторюваних запитах, а в психологічних маніпуляціях. Зловмисники використовують природні реакції людей на стрес, терміновість і роздратування. Вони знають: якщо достатньо сповіщень порушать ваш робочий день, ви, швидше за все, відреагуєте за звичкою або з досади.

Наприклад, зловмисник може розраховувати хвилі запитів на години пік або на пізній вечір, коли користувачі втомлені. Він може навіть доповнити спам фішинговим повідомленням («Це ІТ-відділ, будь ласка, підтвердіть MFA для термінових оновлень»), щоб підштовхнути користувача натиснути «Прийняти» для шахрайського входу. Настає втома від прийняття рішень, і для помилки достатньо однієї миті.

Хмарна екосистема Microsoft, де поширені єдиний вхід і постійні запити на автентифікацію, може зробити це ще важчим для помітності. Коли робочі процеси пов'язані з такими застосунками, як Teams, SharePoint чи Exchange, легко допустити втому від запитів або притуплення реакції на сповіщення. Саме на це й розраховують зловмисники, щоб обійти ваш захист.

Ризик втоми від MFA для дистанційних і гібридних працівників

Тепер, коли дистанційна та гібридна робота стали новою нормою, ситуація змінилася. Робота з дому, з кав'ярні чи готелю може значно підвищити вразливість людей до атак втоми від MFA. Коли користувачі перемикаються між особистими та робочими пристроями або входять у Microsoft 365 з незвичних локацій, зловмисники отримують більше можливостей для атаки.

Ваші сучасні працівники, імовірно, входять із будь-якого місця: з домашніх мереж, публічного Wi-Fi чи мобільних точок доступу. Ці з'єднання не завжди такі ж безпечні, як мережі в офісі. До того ж на особистих пристроях може не бути всіх тих самих захисних механізмів, і це створює маленькі тріщини в броні, які зловмисники охоче шукають.

Крім того, організаціям із гібридними командами часто важко підтримувати актуальність політик доступу та забезпечувати відповідність пристроїв вимогам для кожного користувача й кожного сценарію. Забагато винятків або надто широких правил умовного доступу стають лазівками для зловмисників, і не лише для користувачів. Посилення цих політик і навчання дистанційних працівників розпізнавати фальшиві запити має вирішальне значення. Для глибшого занурення в базові політики та впровадження підходу Zero Trust ознайомтеся з рекомендаціями щодо створення інклюзивного та надійного умовного доступу в Microsoft 365.

Збільшена поверхня атаки у віддалених умовах

Коли ваша інфраструктура розосереджена, наприклад домашній Wi-Fi, VPN і особисті пристрої, зловмисникам простіше непомітно проникнути всередину. BYOD (bring your own device, «принось свій пристрій») означає, що ІТ-команди втрачають видимість і контроль, а користувачі можуть пропустити важливі оновлення або встановити небезпечні застосунки.

Незахищені мережі, спільні планшети та некеровані кінцеві пристрої розширюють поверхню атаки. Особливо це стосується гібридних і дистанційних працівників, які входять у хмарні системи поза безпечним офісним середовищем. Зловмисники активно атакують саме таких користувачів, знаючи, що їхній захист поза периметром організації слабший.

Політики для зниження ризиків втоми від MFA у гібридних командах

• Примусове застосування умовного доступу: використовуйте політики Microsoft Entra або Azure AD, щоб вимагати перевірені місця розташування, відповідність пристрою або запити на основі ризику before надання доступу. Практичні стратегії розглянуто в матеріалі Entra ID Conditional Access Security Loop.
• Перевірка відповідності пристроїв: Дозволяйте доступ лише з пристроїв, які відповідають стандартам безпеки. Так знижується ризик, пов’язаний із застарілим або неке­рованим обладнанням.
• Інтеграція Zero Trust: Перейдіть до моделі Zero Trust, яка поєднує ідентичність, стан пристрою та динамічний контроль сеансів. Практичні поради щодо проєктування можна знайти в цьому подкасті: Zero Trust by Design for Microsoft 365.
• Регулярне навчання та підвищення обізнаності: Регулярно навчайте команди розпізнавати підозрілу активність MFA та повідомляти про неї, особливо працівників, які працюють віддалено або в гібридному форматі.

Виявлення та запобігання атакам втоми від MFA: найкращі практики

Коли ви розумієте, як працюють атаки втоми від MFA, наступний крок – навчитися їх помічати та зупиняти, поки вони не призвели до катастрофи. Раннє виявлення полягає в тому, щоб помічати незвичні сплески запитів MFA, велику кількість запитів для окремих облікових записів або спроби входу з незвичних місць чи пристроїв.

У середовищах Microsoft детальні журнали аудиту та сповіщення в реальному часі за допомогою таких інструментів, як Microsoft Purview або Entra ID, можуть допомогти командам безпеки швидко виявити ознаки проблем. Виявлення – це не лише пошук атак методом грубої сили. Атаки втоми від MFA можуть бути непомітними або розтягнутими на кілька днів, тому потрібна розумніша аналітика та моніторинг з урахуванням контексту.

Запобігання поєднує технології та правильні звички. Автентифікація з урахуванням ризику, перевірка числа та вхід без пароля можуть обмежити зловживання застарілими методами MFA. Тим часом навчання користувачів залишається найкращим «людським брандмауером»: люди досі мають знати, як виглядає підозрілий запит. Щоб практично розібратися з аудитом і керуванням, ознайомтеся з покроковими інструкціями щодо аудиту в Microsoft Purview та найкращими практиками керування платформою.

Перевірені практики запобігання та пом’якшення для атак втоми від MFA

• Впровадьте автентифікацію з урахуванням ризику: Розгорніть системи, які аналізують контекст входу (наприклад, місце, час або пристрій) і вмикають додатковий захист лише за потреби. Так зловмисникам важче імітувати справжню активність користувачів.
• Увімкніть перевірку числа та вхід без пароля: Використовуйте методи перевірки з push-сповіщеннями, які вимагають ввести число або торкнутися ключа безпеки FIDO2, а не просто натиснути «Схвалити». Такі підходи стримують автоматичне схвалення та зменшують випадкові підтвердження.
• Налаштуйте сповіщення: Точно налаштуйте порогові значення для сповіщень і ескалацій у Microsoft Defender та Entra ID, щоб підозрілі обсяги запитів MFA одразу потрапляли до уваги команд безпеки.
• Підвищуйте обізнаність щодо безпеки: Регулярно проводьте навчання користувачів з розпізнавання підозрілих запитів MFA і пояснюйте, наскільки важливо ніколи не схвалювати невідомі запити, особливо в розподілених командах.
• Посильте політики умовного доступу: Переглядайте політики на предмет застарілих винятків і переходьте до чітких та інклюзивних правил, які дійсно виконуються. Щоб отримати рекомендації, ознайомтеся з Entra ID Conditional Access Security Loop щодо дисциплінованого керування життєвим циклом політик.

Розширені рішення безпеки: FIDO2, захист на основі ШІ та платформи безпеки ідентичності

Якщо ви хочете вийти за межі простих виправлень, настав час розглянути розширені рішення безпеки, стійкі до втоми від MFA, для клієнтів Microsoft 365 та Azure. Першим кандидатом є FIDO2, стандарт автентифікації на основі апаратного забезпечення, який призначено для зупинки як фішингу, так і нескінченних запитів MFA. Ми також розглянемо, як штучний інтелект (ШІ) і поведінкова аналітика виявляють незвичні моделі входу та автоматично блокують підозрілі запити.

Комплексні платформи безпеки ідентичності, як-от Exabeam, виводять ці механізми захисту на новий рівень. Вони об’єднують виявлення загроз для ідентичностей, аналітику та швидке реагування у великих середовищах Microsoft. Кожен із цих інструментів має свої переваги, якщо ваша мета – заблокувати як кіберзловмисників, так і помилки користувачів, ще до того, як вони сталися, а не після.

Слідкуйте за оновленнями щодо розгортання FIDO2 та захисту на основі ШІ, який проактивно позначає підозрілі запити автентифікації. Це допоможе відмовитися від застарілого MFA на основі запитів на користь розумніших і безпечніших систем.

Чи є ключі FIDO2 рішенням проблеми втоми від MFA?

Ключі FIDO2 часто вважають золотим стандартом сучасної автентифікації. Ці фізичні ключі безпеки використовують криптографію з відкритим ключем, через що вони майже не піддаються фішингу та атакам втоми від MFA. Коли ви використовуєте ключ FIDO2, немає жодного запиту на схвалення — достатньо швидко торкнутися ключа або вставити його, щоб підтвердити свою присутність.

Microsoft 365 і Azure нативно підтримують ключі FIDO2, тож підприємства можуть впроваджувати їх через інтеграцію з платформою. А які недоліки? Масштабне розгортання може вимагати інвестицій у нове обладнання та навчання користувачів, але більшість команд безпеки погоджуються, що такий компроміс вартий того для чутливих облікових записів і керівників.

Використання безпеки на основі ШІ та поведінкової аналітики для зупинки атак

Штучний інтелект — потужний союзник проти атак втоми від MFA. Системи безпеки на основі ШІ, як-от ті, що є в Microsoft Defender і Entra ID, автоматично виявляють аномальні закономірності у спробах входу: підозрілі місця, неможливі переміщення або раптовий сплеск запитів.

Поведінкова аналітика адаптується з часом: вона вивчає, що є «нормальним» для кожного користувача, і швидко помічає все, що не вписується в цей шаблон. Такі платформи не лише розпізнають відомі ознаки атак, а й можуть відхиляти повторювані або незвичні запити на автентифікацію ще до того, як користувачі їх побачать. Для постійного моніторингу та відповідності вимогам дивіться найкращі практики моніторингу в Microsoft Defender for Cloud.

Exabeam і уніфікована безпека ідентичностей для середовищ Microsoft

Exabeam — приклад платформи, яка об’єднує виявлення та реагування на загрози ідентичностей у середовищах Microsoft. Завдяки інтеграції з Microsoft 365 і Azure Exabeam забезпечує централізовану видимість, просунуту аналітику та автоматичне стримування загроз, пов’язаних з ідентичностями, зокрема атак втоми від MFA.

Такі платформи допомагають командам безпеки підвищувати операційну ефективність і скорочувати час реагування, корелюючи події ідентичностей у хмарі. Замість того щоб вручну розбирати кожне сповіщення, команди SOC отримують пріоритизовані та придатні до дії висновки про те, хто перебуває під атакою і як її пом’якшити, використовуючи перевірені на практиці плейбуки виявлення атак, адаптовані для екосистем Microsoft.

Поширені запитання, експертні поради та наступні кроки для захисту від загроз завтрашнього дня

Тепер ви бачите, чому втома від MFA піднімається в рейтингах ризиків, і, мабуть, думаєте, що можна зробити далі, щоб захистити середовище. Цей останній розділ відповідає на найпоширеніші запитання про атаки втоми від MFA, дає рекомендації від експертів і вказує на практичні наступні кроки.

Цікаво, чи MFA досі ефективна? Хочете знати, як відрізнити звичайний запит від атаки? Або шукаєте експертні поради, як захистити користувачів Microsoft 365 і не ускладнювати їм життя? Ми розглянули все: від виявлення та відновлення після інцидентів до технологій і політик, які перетворюють вразливе налаштування на фортецю.

Якщо ви хочете огляд ключових налаштувань і найкращих практик, які поєднують безпеку з комфортом користувачів, ознайомтеся з посібником з надійної безпеки Microsoft 365 без дратування користувачів. Наведені далі поширені запитання, експертні поради та підсумок дають вам чіткий план дій для усунення втоми від MFA — як сьогодні, так і в міру того, як загрози будуть еволюціонувати надалі.

Поширені запитання про атаки втоми від MFA

• Як помітити ознаки атаки втоми від MFA? Слідкуйте за раптовим зростанням активності запитів MFA, повторними запитами поза робочим часом або скаргами користувачів на «дивні» сповіщення.
• Чи досі ефективна MFA? Так — MFA залишається ключовим заходом контролю безпеки, але методи на основі запитів (особливо push-сповіщення) можуть бути вразливими без додаткових запобіжників.
• Що мають робити користувачі, якщо їм надходить потік запитів? Негайно відхиляйте їх і повідомляйте про них. Ніколи не схвалюйте запит, який ви не ініціювали, і повідомте ІТ-відділ, щоб він міг швидко вжити заходів.
• Чи можуть зловмисники увійти без мого пароля? Лише якщо вони вже скомпрометували ваші облікові дані, але поєднання тактик втоми від MFA з фішингом, викраденням токенів або перехопленням пристроїв підвищує їхній рівень успіху.

Поради експертів з безпеки та фінальні рекомендації

• Впровадьте співставлення чисел і ключі FIDO2: відмовтеся від старих методів на кшталт «просто натисни „схвалити“» на користь засобів, стійких до фішингу та втоми.
• Впроваджуйте сувору й інклюзивну умовну доступ-політику: Перестаньте ховатися за винятками — перегляньте всі політики з точки зору ризиків.
• Проводьте регулярні навчальні сесії для користувачів: Навчіть співробітників розпізнавати підозрілу активність MFA і повідомляти про неї.
• Аудит журналів і моніторинг аномалій: Використовуйте Microsoft Purview і Sentinel для розширеного виявлення загроз.
• Підготуйте план реагування на інциденти: Знайте кроки для локалізації, розслідування та відновлення ще до того, як настане атака.

Висновок: діяти зараз проти загроз завтрашнього дня

Звіти з безпеки показують зростання загроз: понад 15 % серйозних порушень безпеки ідентичності у 2023 році були пов’язані з певною формою втоми від MFA або атаками на основі push-сповіщень. Рішення людей залишаються ключовою ланкою: зловмисники перемагають, коли захист спирається лише на технології, а не на готовність і обізнаність.

Висновки очевидні. Поєднання технологій (наприклад, FIDO2, аналітики на основі ШІ та надійних політик керування доступом) з безперервним навчанням користувачів дає організаціям перевагу. Успіх забезпечують проактивні зміни: надійні конфігурації, чіткі політики та план реагування на інциденти, який не залишає місця для втоми чи плутанини.

Ставтеся до втоми від MFA як до чогось більшого, ніж дрібна неприємність: це новий вектор атак, який націлений на ваших користувачів, ваші дані та весь ваш бізнес. Дійте зараз і будьте готові до того, що буде далі.