MFA fatigue (česky únava 2FA nebo 2FA bombing) je útok, který zneužívá samotnou obranu 2FA proti uživateli. Útočník už nějak získal vaše heslo (z datového úniku, předchozího phishingu) a opakovaně se přihlašuje. Každý pokus pošle push notifikaci nebo SMS na váš telefon. Po 20., 50., 100. notifikaci v noci nebo ve schůzi unavený uživatel jeden Schválit omylem klepne — útočník je uvnitř. Nejvíce známý případ: útok na Uber 2022.
Jak to funguje
Útočník získá heslo (typicky z phishingu nebo datového úniku, kde uživatel použil stejné heslo na víc službách). Spustí skript, který každých pár vteřin zkouší přihlášení. Každý pokus generuje 2FA výzvu na uživatelův telefon. Útok kombinuje s sociálním inženýrstvím — útočník někdy paralelně volá oběti, představuje se jako IT podpora a říká klepněte na schválit, je to aktualizace. Řada uživatelů pod tlakem schválí, aby notifikace přestaly.
Jak to rozeznat
- Dostáváte opakované 2FA notifikace, i když jste se sami nepřihlašovali.
- Notifikace přicházejí v neobvyklých časech (uprostřed noci, brzy ráno).
- Souběžně vás kontaktuje IT support s žádostí o schválení.
- Notifikace ukazuje neznámou lokalitu (jiné město, jiná země).
Co dělat
- NIKDY neschvalujte 2FA notifikaci, kterou jste sami nevyvolali — i když je jich 100.
- Změňte si OKAMŽITĚ heslo z čistého zařízení — útočník už ho zná.
- Zkontrolujte aktivní relace ve službě (Google → Security → Active sessions, podobně u Microsoftu, banky).
- Pokud máte aplikační autentikátor (Google Authenticator), MFA fatigue nefunguje — neposílá push, jen generuje kódy.
- Pro citlivé účty zvažte hardwarový klíč (YubiKey) — fyzický zámek, nelze přesvědčit notifikací.
České kontexty
Aktuálně reportovaná nebezpečná čísla
Top čísla, na která lidé hlásí podvodné nebo otravné hovory. Pokud vám zazvonilo některé z nich, čtěte zkušenosti ostatních.
Časté otázky
Související pojmy
Hledáte další pojem? Otevřít celý slovník →