Le push bombing désigne l'envoi massif et répété de notifications d'approbation vers le téléphone d'un utilisateur dont l'attaquant détient déjà le mot de passe. Chaque tentative de connexion déclenche une demande ; l'attaquant compte sur une validation, par erreur, par agacement ou pour faire cesser les alertes.
Le déroulé type
- L'attaquant obtient des identifiants valides, souvent issus d'une fuite ou d'un infostealer ;
- Il enchaîne les tentatives de connexion, ce qui génère un flux de notifications ;
- Il appelle éventuellement la victime en se présentant comme le support informatique, pour lui demander d'approuver « afin d'arrêter le bug » ;
- Une seule approbation suffit à ouvrir une session légitime.
La compromission d'Uber en 2022 a suivi ce schéma et sert depuis de cas d'école.
Push bombing ou MFA fatigue
Les deux termes sont souvent employés indifféremment. Le push bombing décrit le procédé — saturer de notifications ; la MFA fatigue décrit l'effet recherché — l'épuisement de la vigilance, qui peut aussi être obtenu lentement, à raison de quelques demandes par jour.
Les parades connues sont la correspondance de nombre, la limitation du nombre de demandes, l'affichage du contexte de connexion et l'alerte automatique. Elles compliquent l'attaque sans supprimer sa condition de possibilité : une approbation binaire reste quelque chose que l'on peut obtenir par pression. Un challenge exigeant un raisonnement, lui, ne s'accorde pas par réflexe.
Aller plus loin : définition de la MFA fatigue · l'authentification par notification push · le 4ᵉ facteur contre la MFA fatigue · l'authentification cognitive