Pernah membayangkan peretasan akun tidak lagi dilakukan dengan menebak password, melainkan dengan membanjiri ponsel korban? Itulah serangan MFA fatigue, teknik yang belakangan ini dipakai oleh kelompok peretas untuk menembus akun perusahaan dan individu. Metodenya sederhana, tapi efektivitasnya luar biasa.
Serangan ini muncul karena semakin banyak layanan yang mewajibkan verifikasi dua langkah (MFA). Alih-alih melindungi, notifikasi verifikasi yang terus-menerus justru bisa menjadi celah. Peretas membanjiri perangkat korban dengan permintaan persetujuan, berharap ada satu yang lolos karena korban lelah atau tidak sadar.
Apa Itu Serangan MFA Fatigue?
MFA fatigue, atau yang juga dikenal sebagai MFA bombing atau push bombing, adalah teknik serangan di mana penyerang mengirimkan notifikasi verifikasi MFA secara berulang dan massal ke perangkat korban. Biasanya, penyerang sudah terlebih dahulu memiliki nama pengguna dan kata sandi korban — misalnya dari kebocoran data atau serangan phishing.
Dengan kredensial tersebut, penyerang mencoba masuk ke akun korban. Setiap kali percobaan login dilakukan, perangkat korban akan menerima notifikasi “Apakah ini Anda?” dari aplikasi autentikasi. Ketika notifikasi datang berulang kali, terutama di jam-jam rawan atau saat korban sedang sibuk, peluang korban secara tidak sengaja menekan tombol “Terima” menjadi lebih besar.
Contoh Kasus Nyata
Salah satu kasus paling terkenal terjadi pada 2022 ketika kelompok peretas Lapsus$ dikabarkan berhasil mengakses sistem perusahaan besar dengan teknik serupa. Serangan MFA fatigue juga diyakini menjadi bagian dari peretasan terhadap perusahaan teknologi dan layanan konsumen, di mana akun karyawan menjadi titik masuk utama.
Yang membuat kasus ini menarik adalah tidak ada malware canggih yang terlibat. Penyerang hanya memanfaatkan kelemahan psikologis dan kebiasaan pengguna. Ketika ratusan notifikasi verifikasi muncul dalam semalaman, resistensi manusia untuk menolak bisa menurun drastis.
Mengapa Serangan Ini Efektif?
Ada beberapa alasan mengapa MFA fatigue berhasil di banyak kasus:
- Kelelahan dan kebiasaan. Notifikasi yang berulang membuat orang cenderung menekan “Terima” hanya untuk menghentikannya.
- Waktu yang tepat. Serangan sering dilancarkan larut malam atau di saat korban sedang sibuk, sehingga penilaian menjadi kabur.
- Tidak ada batas percobaan. Banyak aplikasi MFA tidak membatasi jumlah permintaan push, sehingga penyerang bisa mencoba tanpa henti.
- Kurangnya edukasi. Banyak pengguna tidak tahu bahwa menekan “Terima” pada notifikasi yang tidak mereka picu berarti memberi akses kepada penyerang.
Cara Melindungi Akun dan Organisasi
Kabar baiknya, ada langkah konkret yang bisa dilakukan untuk menangkis serangan ini. Berikut rekomendasinya:
- Gunakan aplikasi autentikator, bukan push. Kode TOTP di aplikasi seperti Google Authenticator atau Authy lebih aman karena penyerang tidak bisa membanjiri Anda dengan notifikasi.
- Terapkan angka pencocokan. Beberapa aplikasi menampilkan angka di layar login yang harus dimasukkan pengguna, sehingga notifikasi acak tidak bisa sembarangan disetujui.
- Batasi jumlah permintaan. Organisasi sebaiknya membatasi percobaan MFA dan mengunci akun sementara jika ada terlalu banyak permintaan dalam waktu singkat.
- Waspadai notifikasi di luar aktivitas. Jika Anda menerima permintaan verifikasi padahal tidak sedang login, segera tolak dan ganti kata sandi.
- Aktifkan notifikasi keamanan. Pastikan ada peringatan saat ada percobaan login dari perangkat atau lokasi baru.
Tanda-Tanda Anda Menjadi Target
Ada beberapa gejala yang bisa dikenali ketika Anda atau tim Anda menjadi sasaran serangan MFA fatigue. Gejala ini sebaiknya tidak diabaikan karena bisa menjadi gerbang menuju kebocoran data yang lebih luas.
- Notifikasi verifikasi berulang. Anda menerima permintaan masuk yang tidak Anda picu, kadang puluhan kali dalam satu jam.
- Percobaan login di luar jam kerja. Notifikasi muncul larut malah atau saat Anda sedang tidak aktif.
- Akun terkunci sementara. Sistem memblokir akun karena terlalu banyak permintaan, yang justru membuat Anda semakin panik.
- Email peringatan keamanan. Penyedia layanan mengirim tanda ada aktivitas mencurigakan pada akun Anda.
Jika Anda menemukan tanda-tanda di atas, segera laporkan ke tim keamanan informasi di organisasi Anda. Jangan menunggu sampai akun benar-benar dibobol, karena proses pemulihan bisa memakan waktu dan merusak kepercayaan pengguna.
Apa yang Harus Dilakukan Jika Menjadi Korban
Bila Anda mencurigai akun sudah diretas melalui MFA fatigue, langkah pertama adalah memutus akses penyerang. Segera ganti kata sandi, cabut sesi aktif di semua perangkat, dan nonaktifkan metode MFA yang berkaitan dengan notifikasi push. Setelah itu, tinjau log aktivitas untuk memastikan tidak ada perubahan pengaturan yang dibuat penyerang.
Untuk organisasi, insiden ini harus diikuti dengan evaluasi kebijakan autentikasi. Tinjau kembali aplikasi MFA yang dipakai, aktifkan pembatasan percobaan, dan lakukan pelatihan kesadaran keamanan bagi seluruh karyawan. Serangan MFA fatigue memanfaatkan kelalaian manusia, dan pendidikan adalah pertahanan paling efektif untuk menguranginya.
Selain itu, laporan keamanan siber mencatat peningkatan signifikan serangan MFA bombing dalam beberapa tahun terakhir, terutama pada sektor teknologi, keuangan, dan layanan cloud. Kombinasi antara kredensial bocor dan notifikasi tanpa batas membuat teknik ini menjadi senjata favorit kelompok peretas modern.
Kesimpulan
MFA fatigue membuktikan bahwa keamanan siber bukan hanya soal teknologi, tetapi juga soal perilaku manusia. Verifikasi dua langkah tetap penting, namun harus dipilih metode yang tepat dan disertai kesadaran pengguna. Dengan aplikasi autentikator dan kebijakan yang bijak, serangan ini bisa dicegah sebelum merusak akun dan reputasi Anda.
Mulailah dengan meninjau kembali metode MFA yang Anda pakai. Jika masih mengandalkan notifikasi push, pertimbangkan beralih ke kode berbasis waktu yang lebih tahan terhadap banjir notifikasi.
