« ‘L’attaque de ‘fatigue MFA’ cible les propriétaires d’iPhone avec des invites de réinitialisation de mot de passe sans fin »

Les faiblesses humaines sont une cible riche pour les attaques de phishing. Forcer les êtres humains à cliquer sur « Ne pas autoriser » encore et encore dans une invite téléphonique qui ne peut être sautée est une stratégie que certains attaquants d’iCloud adoptent – et qui ont probablement un certain succès. Brian Krebs, sur Krebs on Security, a détaillé les attaques dans un récent article, notant que les « attaques de fatigue MFA » sont une stratégie d’attaque connue. En frappant à plusieurs reprises le dispositif d’une victime potentielle avec des demandes d’authentification multi-facteurs, l’attaque remplit l’écran du dispositif avec des invites qui ont généralement des options oui/non, souvent très proches les unes des autres. Les dispositifs d’Apple sont les dernières cibles riches de cette technique. Si le propriétaire du dispositif est dérangé par le son soudain ou par le flot de notifications (qui bloquent essentiellement l’accès à d’autres fonctionnalités du téléphone) ou s’il considère simplement trop rapidement l’invite et s’est entraîné à cliquer sur « Oui »/ »Autoriser » pour la plupart des autres invites, il pourrait cliquer sur « Autoriser » et donner aux attaquants l’accès dont ils ont besoin. Ou, en étant obligé de rejeter tant d’invites, son pouce ou son doigt pourrait simplement appuyer sur le mauvais pixel et laisser entrer accidentellement les malveillants. Parth Patel, fondateur d’une start-up en intelligence artificielle, a détaillé une attaque survenue le 22 mars contre lui-même dans une discussion sur X (anciennement Twitter). Parth a déclaré que son téléphone Apple, sa montre et son ordinateur portable recevaient tous « plus de 100 notifications » demandant à utiliser ces dispositifs pour réinitialiser son mot de passe Apple. Étant donné la nature de l’invite, elles ne peuvent être ignorées ou rejetées jusqu’à ce qu’elles soient traitées, verrouillant ainsi presque complètement les dispositifs.