MFA-moeheid: hoe aanvallers je sterkste beveiliging omzeilen met irritatie

Eerst het goede nieuws: multifactor-authenticatie werkt. Het overgrote deel van de accountovernames strandt op die tweede factor, en het is niet voor niets de eerste eis van elke verzekeraar en toezichthouder. Maar juist omdat MFA zo goed werkt, richten aanvallers zich nu op de zwakste schakel die overblijft: de mens die op "goedkeuren" moet tikken.

Zo werkt push-bombing

De aanvaller heeft je wachtwoord al — gekocht, gephisht of geraden. Elke inlogpoging stuurt een pushmelding naar jouw telefoon. Dus doet hij er twintig. Om 23:00. En om 23:04. En om 23:07. Totdat je, moe en geïrriteerd, één keer op "goedkeuren" drukt om ervan af te zijn. Dat ene tikje is alles wat nodig was.

Soms komt er een belletje bij: iemand die zich voordoet als "de IT-afdeling" en vriendelijk vraagt of je "even de melding wilt accepteren om het probleem op te lossen". De combinatie van irritatie en behulpzaamheid blijkt verrassend effectief.

De verdediging in drie stappen

1. Spreek de gouden regel af: een MFA-melding die je niet zelf hebt veroorzaakt, keur je nooit goed — en meld je direct. Onverwachte meldingen betekenen dat je wachtwoord op straat ligt.
2. Kies waar mogelijk voor nummer-matching (je typt een code over in plaats van blind te tikken) of een authenticator-app in plaats van kale push-goedkeuring.
3. Wordt iemand bestookt met meldingen? Reset dan meteen het wachtwoord van dat account — de aanvaller heeft het aantoonbaar in handen.

MFA blijft onverminderd de moeite waard; laat dit verhaal vooral geen reden zijn om het uit te zetten. Het is een reden om het góéd in te richten. Waar MFA in het totaalplaatje van je beveiliging staat, zie je in de cyberchecklist voor het mkb. En na een vermoedelijke overname geldt: handel volgens het phishing-stappenplan — snelheid telt.