Kenali MFA Fatigue, Modus Peretas Banjiri Notifikasi Login Akun

Di tengah meningkatnya ancaman siber, multi-factor authentication (MFA) menjadi salah satu lapisan perlindungan yang semakin banyak digunakan untuk mengamankan akun dan sistem digital. Teknologi ini dirancang untuk memastikan bahwa seseorang yang mencoba masuk ke sebuah akun benar-benar merupakan pemiliknya.

Namun, teknologi keamanan yang dirancang untuk melindungi pengguna ternyata juga dapat dimanfaatkan oleh penyerang. Salah satu contohnya adalah MFA Fatigue, serangan siber yang mengeksploitasi kebiasaan dan psikologi pengguna melalui banjir notifikasi autentikasi.

MFA Fatigue juga dikenal dengan istilah MFA Bombing atau MFA Spamming. Dalam serangan ini, pelaku mengirimkan permintaan autentikasi berulang kali ke perangkat korban. Notifikasi dapat muncul melalui aplikasi autentikasi, ponsel, email, pesan teks, maupun perangkat lain yang telah didaftarkan.

Tujuan pelaku bukan membobol sistem MFA secara langsung. Sebaliknya, mereka berusaha membuat korban lelah, bingung, panik, atau merasa terganggu sehingga akhirnya menekan tombol persetujuan.

Begitu korban menyetujui permintaan tersebut, pelaku yang sebelumnya telah memiliki kredensial korban dapat memperoleh akses ke akun yang ditargetkan.

Apa Itu MFA Fatigue?

Untuk memahami MFA Fatigue, pengguna perlu terlebih dahulu memahami cara kerja MFA. MFA merupakan metode autentikasi yang meminta pengguna memberikan lebih dari satu bukti untuk membuktikan identitasnya. Faktor pertama biasanya berupa sesuatu yang diketahui pengguna, seperti nama pengguna dan kata sandi.

Setelah kredensial tersebut dimasukkan, sistem meminta faktor kedua. Bentuknya bisa berupa kode OTP, sidik jari, pengenalan wajah, perangkat keamanan fisik, atau persetujuan melalui notifikasi pada ponsel.

Pada autentikasi berbasis push notification, pengguna biasanya hanya perlu menekan tombol seperti "Approve" atau "Yes" untuk mengonfirmasi bahwa dirinya sedang mencoba masuk. Mekanisme ini memang membuat proses login menjadi lebih praktis. Pengguna tidak perlu selalu memasukkan kode secara manual.

Masalahnya, kemudahan tersebut dapat dimanfaatkan oleh penyerang.

Dalam MFA Fatigue, pelaku terlebih dahulu memperoleh kredensial korban, biasanya berupa nama pengguna dan kata sandi. Setelah itu, pelaku mencoba masuk ke akun korban. Karena akun dilindungi MFA, sistem mengirimkan permintaan autentikasi ke perangkat korban.

Pelaku kemudian mengulangi proses tersebut berkali-kali.

Korban pun menerima notifikasi secara terus-menerus. Jika berlangsung cukup lama, korban dapat mengalami apa yang disebut authentication fatigue, yaitu kondisi ketika pengguna merasa jenuh dan akhirnya mengambil keputusan secara spontan hanya untuk menghentikan gangguan.

Di sinilah serangan tersebut mendapatkan namanya.

Mengapa MFA Fatigue Bisa Berhasil?

MFA Fatigue pada dasarnya memanfaatkan kelemahan manusia, bukan sekadar kelemahan teknologi. Bayangkan seorang karyawan sedang bekerja dan tiba-tiba ponselnya menampilkan notifikasi login. Karena tidak merasa sedang masuk ke sistem, ia mungkin mengabaikannya.

Beberapa detik kemudian, notifikasi yang sama muncul lagi. Setelah beberapa kali, pengguna mulai merasa terganggu. Pelaku kemudian terus mengirimkan permintaan hingga korban kehilangan kesabaran. Dalam kondisi tertentu, korban mungkin berpikir bahwa aplikasi sedang mengalami gangguan atau ada proses login yang tidak sengaja terjadi.

Sebagian korban bahkan dapat menekan tombol persetujuan dengan harapan notifikasi tersebut berhenti. Keputusan sederhana tersebut dapat menjadi pintu masuk bagi penyerang.

Karena itu, MFA Fatigue menunjukkan bahwa keamanan digital tidak hanya bergantung pada seberapa kuat teknologi yang digunakan. Perilaku pengguna juga menjadi bagian penting dari sistem keamanan.

Serangan Biasanya Dimulai dari Kredensial yang Dicuri

MFA Fatigue umumnya bukan serangan yang berdiri sendiri. Pelaku biasanya membutuhkan informasi awal sebelum dapat membanjiri korban dengan permintaan autentikasi. Informasi tersebut dapat berupa nama pengguna, kata sandi, atau kredensial pemulihan akun.

Kredensial dapat diperoleh melalui berbagai cara. Salah satunya adalah phishing, ketika korban diarahkan ke situs atau layanan palsu yang dirancang untuk mencuri informasi login. Kredensial juga dapat diperoleh dari kebocoran data, malware pencuri informasi, rekayasa sosial, atau sumber ilegal di dark web.

Setelah memiliki kredensial, pelaku dapat mencoba masuk ke akun korban. Sistem MFA kemudian mendeteksi login tersebut dan meminta verifikasi tambahan. Bagi pelaku, notifikasi yang dikirimkan ke ponsel korban justru menjadi alat untuk melakukan serangan berikutnya.

Tiga Tahap Serangan MFA Fatigue

Secara sederhana, serangan MFA Fatigue dapat dipahami melalui tiga tahapan utama.

1. Mengumpulkan Informasi Korban
   Tahap pertama adalah memperoleh kredensial yang dibutuhkan untuk mencoba masuk. Pelaku dapat menggunakan hasil phishing, kebocoran data, rekayasa sosial, atau metode lainnya. Semakin lengkap informasi yang dimiliki, semakin mudah pelaku melakukan serangan berikutnya.

2. Membanjiri Korban dengan Permintaan MFA
   Setelah memiliki kredensial, pelaku mencoba masuk ke akun yang dilindungi MFA. Karena login tersebut membutuhkan autentikasi tambahan, sistem akan mengirimkan notifikasi kepada korban. Pelaku kemudian melakukan percobaan berulang sehingga korban menerima banyak permintaan autentikasi dalam waktu singkat. Aktivitas inilah yang dikenal sebagai prompt bombing.

3. Menunggu Korban Melakukan Kesalahan
   Tahap terakhir merupakan bagian terpenting. Pelaku tidak selalu membutuhkan teknik peretasan yang rumit. Mereka hanya perlu menunggu hingga korban melakukan kesalahan. Korban dapat menekan tombol "Approve", "Allow", atau "Yes" karena merasa terganggu, bingung, atau mengira permintaan tersebut berasal dari aktivitas login yang sah.

   Ketika persetujuan diberikan, pelaku dapat melewati lapisan MFA dan memperoleh akses ke akun.

Contoh Serangan MFA Fatigue

Salah satu kasus yang banyak dibahas adalah serangan terhadap Uber pada September 2022 yang dikaitkan dengan kelompok peretas Lapsus$. Insiden tersebut menjadi contoh bagaimana teknik rekayasa sosial dapat digunakan untuk mendapatkan akses ke lingkungan perusahaan.

MFA Fatigue juga dikaitkan dengan aktivitas kelompok ancaman lainnya. Dalam beberapa kasus, pelaku menargetkan akun karyawan maupun layanan seperti service desk, yang dapat menjadi jalur penting untuk memperoleh akses atau melakukan perubahan terhadap akun.

Kasus-kasus tersebut memperlihatkan bahwa MFA bukanlah perlindungan yang sepenuhnya kebal terhadap serangan. MFA tetap sangat penting, tetapi penerapannya harus disertai pengaturan keamanan yang tepat serta edukasi pengguna.

Apa Kelemahan MFA yang Dimanfaatkan Penyerang?

MFA Fatigue mengeksploitasi beberapa kondisi yang mungkin terdapat dalam penerapan MFA. 

Pertama adalah jumlah percobaan autentikasi yang diizinkan. Jika sistem memungkinkan terlalu banyak permintaan dalam waktu singkat, pelaku memiliki lebih banyak kesempatan untuk membombardir korban.

Kedua adalah jeda waktu antara percobaan login dan persetujuan pengguna. Semakin besar kesempatan yang diberikan kepada pelaku untuk melakukan percobaan berulang, semakin besar pula peluang serangan berhasil.

Ketiga adalah kurangnya kesadaran pengguna. Pengguna yang tidak memahami bahwa notifikasi MFA yang tidak diminta dapat menjadi indikasi serangan mungkin lebih mudah tertipu.

Karena itu, MFA sebaiknya tidak dipandang sebagai solusi tunggal. Keamanan akun membutuhkan kombinasi antara teknologi, kebijakan, dan kesadaran manusia.

Bagaimana Cara Mencegah MFA Fatigue?

Ada beberapa langkah yang dapat diterapkan organisasi untuk mengurangi risiko serangan ini.

1. Perketat Konfigurasi MFA
   Organisasi dapat membatasi jumlah permintaan autentikasi yang dapat dikirimkan dalam periode tertentu. Jika terjadi terlalu banyak percobaan login atau permintaan MFA yang tidak biasa, sistem dapat memblokir sementara aktivitas tersebut atau mengirimkan peringatan kepada tim keamanan. Organisasi juga dapat menerapkan mekanisme tambahan seperti verifikasi lokasi, biometrik, atau metode autentikasi lain.

   Dengan demikian, pelaku tidak dapat dengan mudah menggunakan sistem MFA untuk membombardir pengguna.

2. Edukasi Pengguna
   Teknologi keamanan yang canggih tetap dapat gagal jika pengguna tidak memahami cara menggunakannya. Karena itu, perusahaan perlu memberikan pelatihan keamanan secara berkala kepada karyawan, kontraktor, dan pihak ketiga yang memiliki akses ke sistem perusahaan.

   Pengguna harus memahami satu aturan sederhana: jika tidak sedang login, jangan menyetujui permintaan MFA. Ketika menerima notifikasi yang tidak diminta, pengguna sebaiknya tidak menekan tombol persetujuan.

   Mereka perlu melaporkan aktivitas tersebut kepada tim TI atau keamanan informasi. Edukasi semacam ini juga harus mencakup cara mengenali phishing dan menjaga kredensial agar tidak dicuri sejak awal.

3. Gunakan Autentikasi Modern
   Perlindungan terhadap MFA Fatigue juga dapat diperkuat dengan mengurangi ketergantungan pada kata sandi. Salah satu pendekatan yang dapat digunakan adalah Zero Trust. Prinsip ini tidak memberikan kepercayaan secara otomatis kepada pengguna atau perangkat hanya karena berada di dalam jaringan perusahaan. Setiap permintaan akses perlu diverifikasi berdasarkan identitas, perangkat, konteks, dan kebijakan yang berlaku.

   Selain itu, organisasi dapat mempertimbangkan autentikasi berbasis FIDO2. Pendekatan ini memungkinkan pengguna melakukan autentikasi menggunakan kredensial yang tersimpan secara aman pada perangkat. FIDO2 dapat menggunakan biometrik, PIN, atau mekanisme verifikasi perangkat. Pendekatan tersebut membantu mengurangi risiko yang berasal dari kata sandi yang dicuri.

4. Terapkan Least Privilege
   Prinsip least privilege berarti pengguna hanya mendapatkan hak akses yang benar-benar diperlukan untuk menjalankan pekerjaannya. Langkah ini penting karena tidak ada sistem keamanan yang benar-benar sempurna. Jika sebuah akun berhasil diambil alih, pembatasan hak akses dapat mencegah pelaku memperoleh kendali yang lebih luas.

   Misalnya, akun karyawan biasa seharusnya tidak memiliki hak administrator jika memang tidak diperlukan.

   Dengan demikian, ketika akun tersebut dikompromikan, dampaknya dapat dibatasi. Least privilege juga dapat menghambat pergerakan pelaku di dalam jaringan dan mengurangi kemungkinan mereka mengakses data sensitif dalam jumlah besar.

5. Lakukan System Hardening
   System hardening merupakan upaya mengurangi berbagai celah yang dapat dimanfaatkan oleh penyerang. Caranya antara lain dengan menonaktifkan layanan yang tidak diperlukan, memperbarui perangkat lunak, memperbaiki konfigurasi keamanan, menghapus akun yang sudah tidak digunakan, serta memasang patch keamanan terbaru. Semakin kecil attack surface, semakin sedikit titik yang dapat dimanfaatkan pelaku.

   System hardening juga penting untuk memastikan kredensial lama atau akun yang sudah tidak digunakan tidak menjadi pintu masuk bagi penyerang.

6. Perkuat Vulnerability Management
   Organisasi juga perlu menjalankan vulnerability management secara konsisten. Vulnerability management merupakan proses untuk menemukan, menilai, memprioritaskan, dan memperbaiki kerentanan pada sistem. Proses ini umumnya terdiri dari empat tahap, yaitu discovery, assessment, remediation, dan reporting.

   Pada tahap discovery, organisasi mengidentifikasi seluruh aset yang dimiliki, seperti server, endpoint, aplikasi, jaringan, dan perangkat lainnya. Selanjutnya, tahap assessment dilakukan untuk mengetahui kerentanan yang terdapat pada aset tersebut.

   Kerentanan kemudian diprioritaskan berdasarkan tingkat risikonya. Celah yang paling berbahaya perlu segera diperbaiki melalui patch, pembaruan konfigurasi, isolasi, atau tindakan remediasi lainnya.

   Terakhir, seluruh proses tersebut perlu didokumentasikan melalui reporting sehingga organisasi memiliki catatan mengenai kerentanan yang ditemukan dan tindakan yang telah dilakukan.

MFA Tetap Penting, tetapi Bukan Perlindungan Tunggal

Munculnya MFA Fatigue bukan berarti teknologi MFA tidak lagi berguna. Sebaliknya, MFA tetap merupakan salah satu lapisan penting dalam keamanan akun. Hanya saja, organisasi perlu memahami bahwa penyerang juga terus mengembangkan cara untuk melewati mekanisme keamanan tersebut.

MFA Fatigue memperlihatkan perubahan pendekatan dalam serangan siber. Penyerang tidak selalu mencoba membobol sistem secara teknis. Mereka dapat menyerang sisi manusia dengan memanfaatkan rasa lelah, kebingungan, ketidaktahuan, atau kebiasaan pengguna.

Karena itu, pertahanan terbaik bukan hanya memasang MFA, tetapi membangun sistem keamanan berlapis. Konfigurasi MFA perlu diperketat, pengguna harus mendapatkan edukasi keamanan secara rutin, kata sandi perlu dikelola dengan baik, autentikasi modern seperti FIDO2 dapat dipertimbangkan, dan akses pengguna harus dibatasi berdasarkan prinsip least privilege.

Di sisi infrastruktur, organisasi juga perlu melakukan system hardening serta vulnerability management secara berkelanjutan.

Pada akhirnya, keamanan digital merupakan kombinasi antara teknologi dan manusia. Sistem MFA yang kuat dapat membantu melindungi akun, tetapi satu klik yang salah tetap dapat membuka jalan bagi penyerang.

Karena itu, ketika sebuah notifikasi MFA muncul tanpa pernah diminta, tindakan paling aman bukanlah menekan tombol "Approve" agar gangguan berhenti. Hentikan proses tersebut, jangan menyetujui permintaan, dan segera laporkan kepada tim keamanan atau administrator. Kesadaran sederhana ini dapat menjadi salah satu pertahanan paling efektif dalam menghadapi serangan MFA Fatigue.