Comment appelle-t-on couramment cette ruse d'ingénierie sociale ?

La fatigue MFA, aussi appelée « prompt bombing », est une technique d'ingénierie sociale par laquelle des attaquants déjà en possession d'un mot de passe volé déclenchent à répétition des demandes d'approbation de connexion sur le téléphone de la victime, en espérant que la simple lassitude ou la confusion finisse par provoquer une validation accidentelle. Elle exploite un comportement humain plutôt qu'une faille technique du système d'authentification multifacteur lui-même, dont la technologie sous-jacente fonctionne exactement comme prévu.

Une injection SQL est une attaque technique qui manipule la base de données d'un site web via du code malveillant saisi dans des champs de formulaire, une méthode totalement différente qui ne fait intervenir aucune notification sur téléphone. Une attaque de l'homme du milieu intercepte secrètement les communications entre deux parties, également sans rapport avec un spam de notifications d'approbation.

Pour contrer le prompt bombing, de nombreux systèmes de connexion utilisent désormais la correspondance de nombres, obligeant l'utilisateur à saisir un code précis affiché à l'écran plutôt que de simplement appuyer sur « oui », ce qui exige une attention réelle au lieu d'un rejet réflexe.