MFA Bombing: la tecnica che sta bucando l’autenticazione a due fattori

L’MFA Bombing sfrutta un meccanismo legittimo dell’autenticazione a più fattori per accedere ad account già parzialmente compromessi. In pochi anni è diventato una delle tecniche più usate dai gruppi di cybercrime più attivi al mondo.

Per anni l’autenticazione a due fattori (MFA) ha rappresentato una delle barriere di sicurezza più affidabili per gli account aziendali. Le statistiche di Microsoft e del National Cyber Security Centre britannico mostrano che la sua adozione corretta riduce del 99,9% gli attacchi di account compromise. Nonostante questi numeri, nel 2025 una tecnica che prende il nome di MFA Bombing è entrata nell’arsenale standard dei gruppi di cybercrime più attivi al mondo. Il motivo è semplice: non aggredisce il sistema sul piano tecnico ma punta direttamente sull’anello più fragile della catena, l’utente che riceve la notifica.

1. Cos’è l’MFA Bombing e perché funziona
2. Come si svolge un attacco MFA Bombing
3. Casi reali di MFA Bombing
4. Perché l’MFA Bombing colpisce anche utenti formati
5. Come proteggere l’azienda dall’MFA Bombing

Microsoft ha rilevato oltre 382.000 attacchi di MFA fatigue in un solo anno, con picchi di circa 6.000 tentativi al giorno nel 2023. Alla radice ci sono i numeri impressionanti del 2025 sulla disponibilità di credenziali aziendali. Il Verizon DBIR 2025 riporta che l’81% delle violazioni aziendali coinvolge credenziali rubate, mentre nel solo primo semestre dell’anno sono trapelate oltre 3,8 miliardi di credenziali.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cos’è l’MFA Bombing

L’MFA Bombing è una tecnica di social engineering che sfrutta un meccanismo legittimo del sistema di autenticazione a più fattori per accedere ad account già parzialmente compromessi. L’attaccante è già in possesso delle credenziali della vittima, di solito attraverso campagne di phishing, l’acquisto di pacchetti di credenziali sui marketplace illegali o l’uso di malware infostealer. La password da sola però non basta: per entrare deve superare anche il secondo fattore di autenticazione, di solito una notifica push sull’app di un autenticatore come Microsoft Authenticator, Okta Verify, Duo Mobile o Google Authenticator.

Qui entra in gioco il bombing vero e proprio. L’attaccante avvia un loop automatico che tenta ripetutamente l’accesso. A ogni tentativo, sul telefono dell’utente arriva una richiesta di approvazione. Le notifiche si moltiplicano nell’arco di pochi minuti, talvolta a ondate di decine o centinaia in pochi secondi. In tutto questo non c’è alcuna intenzione di bucare un sistema, perché l’obiettivo è far cedere la persona che riceve le notifiche.

La tecnica circola con diversi nomi nella letteratura tecnica internazionale, tra cui MFA Fatigue, push bombing, prompt bombing e MFA spamming. L’idea sottostante resta sempre la stessa: trasformare la stanchezza, la distrazione o la fretta dell’utente in una forma di compromissione. Microsoft, già nella prima metà del 2023, aveva rilevato che l’1% degli utenti approva ciecamente la prima notifica push inattesa che arriva sul proprio telefono. Su una popolazione aziendale di mille dipendenti, significa che dieci collaboratori sono potenzialmente disposti a far entrare un attaccante senza neanche accorgersene.

Come si svolge un attacco di MFA Bombing

Un attacco di MFA Bombing si compone tipicamente di tre fasi distinte, che i gruppi più attivi sanno ormai automatizzare in modo industriale.

Il furto delle credenziali

Tutto parte dal furto delle credenziali della vittima, di solito un dipendente con accesso a sistemi aziendali rilevanti. Le tre vie più frequenti sono il phishing condotto via email con landing page che imitano portali aziendali come Office 365, Workday, Salesforce o VPN; il credential stuffing che riutilizza password trafugate in violazioni passate; il malware infostealer che recupera silenziosamente le credenziali salvate nei browser delle vittime. I pacchetti di credenziali finiscono sui mercati neri della cybercriminalità. Alcuni restano in vendita per pochi dollari, altri trovano un uso immediato da parte di chi li ha sottratti per condurre attacchi mirati.

Il bombardamento push

Con username e password in mano, l’attaccante avvia uno script automatico che cerca di accedere al portale aziendale o al sistema cloud bersaglio. Ogni tentativo di login regolare innesca una richiesta di approvazione MFA sul telefono del dipendente. Lo script non si ferma alla prima notifica negata. Continua a girare in loop, generando una valanga di notifiche push. Nelle campagne più aggressive il bombardamento può produrre centinaia di richieste in pochi minuti, fino a saturare letteralmente lo schermo della vittima.

Il momento dell’approvazione

A questo punto entra in scena la componente psicologica. La vittima si trova sotto pressione, con il telefono che vibra di continuo e le notifiche che si accumulano una dopo l’altra. La situazione produce uno stato di stress e confusione che riduce la capacità di valutazione. In alcuni casi l’attaccante combina il bombing con una telefonata mirata, fingendosi un operatore IT interno che chiede di approvare la richiesta per “risolvere un problema tecnico in corso“. È il salto qualitativo che ha caratterizzato l’attacco a Uber e quello a MGM Resorts. Quando la vittima alla fine cede e tocca “Approva”, l’attaccante entra nel sistema con un’identità a tutti gli effetti legittima sul piano del log.

Casi reali di MFA Bombing

Il caso che ha portato la tecnica all’attenzione del grande pubblico è la violazione di Uber del settembre 2022. Il gruppo Lapsus$ aveva compromesso le credenziali di un contractor esterno attraverso un malware sui suoi dispositivi personali. Lo script di accesso ai sistemi Uber innescava continue richieste MFA sul telefono del contractor. Dopo decine di notifiche ignorate, l’attaccante ha contattato direttamente la vittima su WhatsApp, fingendosi parte del team IT di Uber. Il messaggio chiedeva di approvare la richiesta in arrivo per “sbloccare l’accesso”. Il contractor ha approvato. Da quel momento Lapsus$ ha avuto accesso a una buona parte dei sistemi interni, dai repository GitHub alle dashboard di amministrazione cloud.

Pochi giorni dopo la violazione Uber, lo stesso schema si è ripetuto su Cisco. L’attacco ha seguito una traiettoria identica. Il phishing iniziale sui Google account personali di un dipendente ha portato al furto delle credenziali, poi è partito il push bombing massivo accompagnato da una chiamata di vishing per indurre il dipendente ad approvare la richiesta.

Nel settembre 2023 la stessa dinamica ha colpito MGM Resorts e Caesars Entertainment, in due dei più gravi incidenti di cybersecurity della stagione. Il gruppo Scattered Spider, affiliato in quei mesi al cartello ransomware ALPHV/BlackCat, aveva ottenuto le credenziali via vishing all’helpdesk, simulando con grande precisione l’identità di dipendenti reali per indurre gli operatori del supporto IT a resettare le credenziali MFA. Le stime parlano per la sola MGM di oltre 100 milioni di dollari di danni operativi.

Nel 2025 questa tecnica ha trovato la sua consacrazione nella campagna Salesforce mass-attack. A muoverla è stata l’alleanza Scattered Lapsus$ Hunters, nata ad agosto 2025 fra Scattered Spider, Lapsus$ e ShinyHunters. L’elenco delle aziende colpite va oltre i trenta nomi e include alcuni dei brand più rilevanti del retail, della moda, dell’aviazione e del software. Compaiono FedEx, Disney, Toyota, Cisco, Adidas, l’intero gruppo LVMH con i marchi Dior, Louis Vuitton e Tiffany, Allianz, Qantas, Air France-KLM. Sul leak site del gruppo sono comparse rivendicazioni di esfiltrazione di oltre un miliardo di record. La tecnica di accesso iniziale è la combinazione ormai standard fra phishing, MFA bombing e vishing all’helpdesk.

Perché l’MFA Bombing colpisce anche utenti formati

L’MFA Bombing è una tecnica che funziona anche contro dipendenti formati sulla sicurezza informatica. Proprio per questo richiede un’attenzione particolare. Tre fattori spiegano la sua efficacia.

Il primo è l’abitudine alle notifiche. Un utente aziendale riceve ogni giorno decine di notifiche push da una decina di app diverse. L’autenticazione MFA è una di queste e nella mentalità quotidiana finisce per confondersi con tutte le altre. Quando arriva una richiesta di approvazione, l’utente tende a processarla in modalità automatica, senza riflettere sul singolo evento.

Il secondo è il carico cognitivo. Una persona impegnata in altre attività, in riunione, al telefono con un cliente o in mezzo al traffico ha capacità di valutazione drasticamente ridotte. Le notifiche arrivano nei momenti meno opportuni, spesso quando manca il tempo materiale per capire cosa sta succedendo davvero.

Il terzo è la pressione sociale, soprattutto nei casi in cui il push bombing si combina con una telefonata di vishing che simula il supporto IT interno. La vittima si trova davanti a un’apparente autorità tecnica che chiede di approvare per “risolvere un problema”. Negarlo sembra scortese e poco collaborativo, in alcuni casi può apparire perfino come un rischio per la propria posizione lavorativa. L’incrocio di questi tre fattori produce esattamente il risultato che gli attaccanti cercano.

Come proteggere l’azienda dall’MFA Bombing

Difendere un’organizzazione dall’MFA Bombing richiede interventi sia sul piano tecnico sia su quello organizzativo. La buona notizia è che le contromisure efficaci esistono e sono in larga parte già disponibili nei sistemi di autenticazione più diffusi. Le pratiche fondamentali sono queste:

• Attivare il number matching su tutte le applicazioni di autenticazione.
  Microsoft ha reso il number matching obbligatorio sul proprio Authenticator dal febbraio 2023 proprio in risposta al boom degli attacchi MFA fatigue. La differenza è significativa: invece di richiedere un semplice “Approva”, l’app mostra un numero che l’utente deve inserire manualmente. Senza vedere lo schermo del PC, l’attaccante non conosce il numero da digitare e l’approvazione automatica diventa impossibile.
• Passare a metodi di autenticazione phishing-resistant.
  Lo standard di riferimento attuale è FIDO2, l’autenticazione asimmetrica basata su chiavi crittografiche memorizzate localmente sui dispositivi degli utenti. Le passkey appartengono alla stessa famiglia: le chiavi private restano sul dispositivo e il phishing tradizionale non ha alcun appiglio, con una distinzione da tenere presente fra le passkey legate all’hardware e quelle sincronizzate su un account cloud. Microsoft Entra ID e Okta supportano FIDO2 in modo nativo dal 2023. Per i profili più esposti, come amministratori IT, dirigenza e funzioni finance, rappresenta oggi la baseline ragionevole.
• Limitare il numero di richieste MFA per intervallo di tempo.
  Bloccare automaticamente l’autenticazione dopo tre o cinque tentativi falliti consecutivi riduce drasticamente la finestra utile a un attacco di push bombing.
• Implementare politiche di Conditional Access basate sul rischio.
  I sistemi di autenticazione moderni valutano in tempo reale parametri di contesto come la geolocalizzazione del tentativo di login, il dispositivo in uso, gli orari abituali del singolo utente e il suo comportamento storico. Il sistema blocca i tentativi anomali o richiede fattori aggiuntivi prima ancora di mandare la notifica all’utente.
• Disattivare i metodi MFA basati su SMS e chiamate vocali.
  SMS è vulnerabile al SIM swapping, mentre le chiamate vocali sono soggette a intercettazione e a vari schemi di redirezione. I framework di compliance più recenti (PCI DSS v4.0.1, NIST SP 800-63B) richiedono o raccomandano fortemente la migrazione verso fattori più resistenti.
• Formare il personale a riconoscere le notifiche anomale e a gestire le chiamate sospette dall’helpdesk.
  I dipendenti devono sapere che una notifica MFA inattesa non va mai approvata e che le richieste telefoniche di approvazione push non sono mai una procedura legittima. L’helpdesk a sua volta deve avere protocolli rigidi di verifica dell’identità prima di processare reset password o reset MFA.
• Monitorare in tempo reale i tentativi di autenticazione.
  Picchi anomali di richieste push verso uno stesso utente o cluster di utenti devono attivare alert immediati al SOC o al team IT, anche prima che il dipendente in difficoltà segnali il problema.

In conclusione

L’MFA Bombing è oggi una delle tecniche più efficaci nell’arsenale del cybercrime aziendale, proprio perché sfrutta un meccanismo legittimo del sistema di sicurezza che le aziende hanno adottato per difendersi. Nei prossimi mesi il fenomeno crescerà ulteriormente. Il volume di credenziali aziendali in vendita sui mercati neri aumenta in continuazione e gruppi come Scattered Lapsus$ Hunters professionalizzano la tecnica con velocità crescente.

La buona notizia è che la difesa è alla portata di qualsiasi organizzazione. Strumenti come number matching, FIDO2, conditional access, formazione interna e protocolli di helpdesk sono tutti maturi e disponibili sui principali sistemi di autenticazione aziendali. Quello che manca, nella maggior parte dei casi, è la valutazione iniziale di cosa è attivo, cosa non lo è e dove stanno i veri buchi.