Бързото бомбардиране с многофакторно удостоверяване е най-силното доказателство, че не всички MFA решения са сигурни. Тази техника на социално инженерство предизвиква голям интерес през последните седмици, тъй като киберпрестъпни групи я внедриха успешно, както в случая с атаките Lapsus$.

Техниката се състои в следното –  хакери  се представят за компания, която използва софтуер с MFA система, така че потребителите да могат да се идентифицират и да получат достъп до техните услуги и решения. Целта е бомбардирана от известия с искания за идентификация, които се преструват, че са част от процедурата на програмата на MFA. Ако потребителят бъде подмамен да повярва, че заявките идват от компанията и кликне върху известието, тогава хакерите получават достъп до системите на организацията. Този тип кибератака може да се извърши по няколко различни начина: те могат да изпратят поредица от онлайн заявки, за да накарат потребителя да приеме заявката за идентификация, вярвайки, че поддържа достъп до тези услуги. В други случаи хакерите изпращат по-рядко заявки (една или две на ден), за да повдигнат по-малко подозрения. Има дори случаи на телефонни обаждания до конкретен потребител, уж от  служител на тази компания, за да накара потребителя да  се довери и да  каже, че ще изпрати заявка за мултифакторно удостоверяване. Въпросът е как можем да избегнем тези бомбардировки?

1. Както обикновено се случва с всички техники за социално инженерство, недоверието на потребителите и обучението по киберсигурност са ключови и представляват първата линия на защита. В тази връзка служителите никога не трябва да приемат насочено известие, за да се идентифицират за достъп до фирмените програми, ако не са поискали достъп в този момент или ако идва от друго място. Така че, когато се съмнявате, най-добре е да се свържете и да информирате ИТ мениджърите и междувременно да деактивирате известията.
2. Що се отнася до насочените известия, техниката на бомбардиране често се използва и ескалира в решенията на MFA, където няма първо валидиране с парола или се използва като единична автентификация без парола. Но това не означава, че една организация никога не може да осигури система за насочено уведомяване за своите служители като MFA процедура, тя трябва да осигури начини за контролиране на MFA бомбардиране или поне да следи за появата му и да го блокира.

Въпреки това е препоръчително да се внедри разширено решение за защита и управление на самоличността, което може да контролира по всяко време кои служители са избрали насочените известия и да ги уведомява, ако блокират някое от тях, както и да внедри допълнителни механизми за подпомагане на служителите, ако получат вълна от известия, като например възможността да ги блокирате за известно време. Достъпът до това решение за управление на самоличността също трябва да бъде защитен с парола, така че хакерът да не може да го използва, за да бомбардира целта, тъй като атакуващият първо трябва да знае паролата за това решение.

Това дава на организациите пълен контрол върху идентичностите, активите, акаунтите и информацията, без да се притеснявате, че ще бъдат имитирани чрез бомбардировки или други техники за влизане в системите им чрез измама на потребителите чрез процедури на MFA.