MFA Yorgunluğu ve Push Bombing Saldırıları

MFA Yorgunluğu Nedir?

MFA yorgunluğu, kullanıcının art arda gelen doğrulama isteklerine karşı refleks olarak “Onayla” demesi durumudur.

​Zamanla:​

1. 1. Bildirimler sıradanlaşır
   2. Kullanıcı içeriği kontrol etmez
   3. Güvenlik refleksi zayıflar

Sonuçta MFA, aktif bir doğrulama yerine pasif bir alışkanlığa dönüşür.

Push Bombing Saldırısı Nasıl Çalışır?

Push bombing, saldırganın ele geçirdiği kullanıcı adı ve parolayı kullanarak sisteme giriş denemesi yapması ve kurbana art arda MFA push bildirimi göndermesidir.

Senaryo tipik olarak şöyle ilerler:​

1. 1. Saldırgan kimlik bilgilerini ele geçirir
2. 1. Hesaba giriş yapmayı dener
3. 1. Kullanıcının telefonuna MFA bildirimi gider
4. 1. Kullanıcı reddeder
5. 1. Saldırgan tekrar dener
6. 1. Bildirim yağmuru başlar

Bir noktada kullanıcı şu düşünceye kapılabilir:

1. 1. “Herhalde sistemsel bir hata var.”
   2. “Bildirim gitmiyor galiba.”
   3. “Tamam, onaylayayım da sussun.”

O tek onay, saldırganın içeri girmesi için yeterlidir.

Neden Bu Kadar Etkili?

1. İnsan Psikolojisi

Sürekli gelen bildirimler stres yaratır. Kullanıcı dikkatini kaybeder.

2. Zamanlama Manipülasyonu

Saldırgan gece saatlerinde veya mesai yoğunluğunda saldırıyı başlatabilir. Yorgunluk ve acele karar verme risk artırır.

3. Güven Algısı

MFA uygulamaları genellikle “Giriş denemesi var” şeklinde basit mesaj gösterir. Nereden, hangi cihazdan, hangi IP’den geldiği net değildir.

Gerçek Dünya Örnekleri

Son yıllarda birçok büyük kurumda push bombing yoluyla hesap ele geçirme vakaları yaşandı. Özellikle:

1. 1. VPN erişimleri
   2. Kurumsal e-posta hesapları
   3. Bulut yönetim panelleri

hedef alındı.

Bu saldırılar genellikle öncesinde bir kimlik avı kampanyasıyla desteklenir.

MFA Neden Yetmedi?

Çünkü klasik push MFA modeli şu varsayıma dayanır:

Kullanıcı bilinçli olarak her isteği değerlendirecek.

Gerçekte ise kullanıcı yoğun, dikkati dağınık ve bazen teknik detayları analiz edecek durumda değildir.

Güvenlik modeli insan davranışını hesaba katmadığında kırılganlaşır.

Risk Nerede Büyüyor?

1. 1. Hibrit ve uzaktan çalışma düzeninde
   2. Tek faktörlü parolaya dayalı ilk girişlerde
   3. SMS veya basit push MFA kullanımında
   4. Hesap kilitleme mekanizması olmayan sistemlerde

Korunma Stratejileri

1. Number Matching (Numara Eşleştirme)

Push bildirimi geldiğinde kullanıcıdan ekranda görünen kodu girmesi istenir. Rastgele onay verme zorlaşır.

2. Phishing-Resistant MFA

FIDO2, donanım anahtarı veya sertifika tabanlı kimlik doğrulama yöntemleri tercih edilmelidir.

3. Oran Sınırlandırma

Belirli sayıda başarısız MFA denemesi sonrası hesap geçici olarak kilitlenmeli.

4. Koşullu Erişim

Riskli IP, yeni cihaz veya anormal lokasyon tespit edildiğinde ek doğrulama uygulanmalı.

5. Kullanıcı Eğitimi

En basit ama en kritik kural:

Beklemediğiniz MFA isteğini asla onaylamayın.

Kültürel Boyut

MFA yorgunluğu teknik bir açık değil, davranışsal bir zafiyettir.

Sistem doğru olabilir, fakat kullanıcı deneyimi kötü tasarlandıysa savunma aşınır.

Güvenlik yalnızca katman eklemek değildir. Katmanı insanla uyumlu tasarlamaktır.

Sonuç

Push MFA güvenliği artırmak için tasarlandı.

Ancak saldırganlar artık kapıyı zorlamıyor, zili sürekli çalıyor.

Ve bazen kapı, rahatsızlık bitsin diye açılıyor.

MFA tek başına sihirli çözüm değildir. Doğru yapılandırılmadığında, savunma mekanizması bir alışkanlık tuzağına dönüşebilir.