开启 3 天免费试用
注册即可免费体验全部高级功能。
*仅限新用户；每位用户只能获得一次试用。
什么是 MFA 疲劳攻击？反复推送验证请求时如何应对
Marcus Reid
2026年8月28日· 8 分钟阅读
MFA 疲劳攻击是指设法让用户批准一个并非自己发起的真实多因素认证请求。在这种推送疲劳攻击中，攻击者反复触发推送通知，夹杂电话或消息，或者等受害者因误触、厌烦，或以为是普通登录的一部分而点击批准。
关键前提是攻击者能走到 MFA 验证这一步。他们可能已知道或重置了密码，持有有效的第一因素，或正在操作一个实时的登录流程。反复出现的提示不是随机垃圾信息，它可能说明有人正试图完成认证。CISA 建议用数字匹配缓解推送轰炸攻击，因为它比单纯的“批准”按钮需要更多上下文。［1］
关键要点
- 除非你发起了这次登录且能对上其上下文，否则绝不批准 MFA 请求。
- 拒绝一次提示有用，但反复出现提示说明你应保护并上报账号。
- 数字匹配能减少误批准，但并不能让每次登录或社会工程请求都变得可信。
- 误批准后按可能的账号入侵处理：撤销会话、重置 MFA 验证方式并调查活动。
MFA 疲劳攻击（MFA 轰炸）怎样运作？
攻击者先获取或猜出足以通过第一步认证的信息。在其他泄露中暴露的重复使用密码，可被用于撞库攻击；钓鱼页面可能实时截获密码；操纵服务台或滥用恢复流程，也能让攻击者接近 MFA 验证环节。
接着，攻击者提交登录尝试。基于推送的系统会向已登记的设备发送真实通知。一次请求可能很快被拒绝，于是攻击者在不方便的时间或密集地重复发起。他们可能冒充 IT 打来电话，声称这些提示是安全更新的一部分，或让受害者批准一次请求“好让通知停下来”。
如果受害者批准，服务商可能完成攻击者的登录。之后发生什么取决于账号和控制措施：攻击者可能建立会话、登记另一个验证因素、访问邮件或文件、修改恢复设置、创建应用授权，或转攻其他服务。MFA 疲劳指的是这种施压诱导批准的手法；它并不是所有 MFA 绕过、会话被盗、SIM 卡劫持或一次性验证码被盗的统称。
Push、TOTP、number matching 与 passkey 有何区别？
不同的认证方式要求用户做不同的决定。普通推送提示只问是否批准。基于时间的一次性密码（TOTP）要求把一个短时变化的代码输入用户正在查看的登录流程。数字匹配（number matching）在登录页面显示一个数字，要求在验证器中输入或选择对应数字。通行密钥（passkey）使用与请求网站绑定的密码学认证，并需要本地用户验证或在场确认。
| 方式 | 用户操作 | 针对疲劳攻击的优势 | 重要局限 |
|---|---|---|---|
| 批准/拒绝推送 | 点击批准或拒绝 | 操作简单，但容易在没有上下文时批准 | 反复推送和社会工程可利用习惯 |
| TOTP | 在当前登录流程输入动态验证码 | 没有可随手批准的意外按钮 | 实时钓鱼代理可索取并转发验证码 |
| 数字匹配 | 匹配登录页面显示的数字 | 把提示与可见的交互绑定，减少盲目批准 | 来电者仍可操纵正在查看攻击者所发起流程的用户 |
| Passkey/FIDO2 | 使用绑定网站的凭据并本地验证 | 抵抗凭据重放和许多钓鱼代理 | 登记、恢复、设备覆盖和回退方式仍然重要 |
Microsoft 的数字匹配流程在登录时显示一个数字，要求用户在 Authenticator 中输入该数字才能完成批准。［2］这迫使用户多做一次比对，让来历不明的推送更难被接受，但用户仍必须确认登录是自己发起的。如果受害者照着犯罪分子的指示操作，电话另一端的人照样可以展示或念出数字。
通行密钥和 FIDO2 安全密钥追求更强的属性：凭据在密码学上与合法网站关联，因此不是钓鱼页面能直接收集的可复用代码。Microsoft 把通行密钥和 FIDO2 方案纳入其抗钓鱼 MFA 方向，同时指出部署和平台方面的考量。［3］抗钓鱼不等于不会出事；恢复渠道、旧的验证方式、恶意软件和已授权会话被滥用，仍需要相应控制。
收到意外 MFA 请求怎么办？
不要批准，也不要输入别人提供的数字。如果验证器提供拒绝或举报选项，就使用它。关闭你并非有意打开的登录页面。然后通过官方 App 或书签独立检查账号。
一次偶然的通知可能来自你自己延迟的会话、第二台设备或服务重试。把时间、地点、应用和设备信息与你当时在做的事对照。如果对不上，就按可疑处理。多次请求、在异常时间出现的请求，或同时有“IT 支持”来电，都说明情况更紧急。
| 情况 | 可能的暴露 | 立即行动 |
|---|---|---|
| 你自己登录时出现一次提示 | 可能是正常的 | 批准前比对应用、数字、地点和设备 |
| 你没有登录却出现一次提示 | 攻击已走到 MFA 环节 | 拒绝或举报；查看近期活动并保护密码 |
| 反复出现提示或伴随来电 | 正在进行的施压攻击 | 停止回应；独立联系客服或安全团队 |
| 误批准了提示 | 可能已成功登录 | 立即开始账号恢复和事件审查 |
个人账号方面，如果第一因素可能已被知晓（尤其是重复使用过的密码），请在可信设备上修改密码，并检查近期登录和恢复方式。工作账号方面，请通过已知号码或内部门户联系安全团队或服务台，提供提示出现的时间、显示的地点、应用以及来电者信息。不要拨打可疑消息中提供的号码。
误批准 MFA 后怎样恢复？
在有证据证明并非如此之前，都假定这次批准可能帮别人完成了认证。通过服务商的官方安全页面撤销陌生会话或退出其他设备。如果密码可能泄露，就修改密码。检查已登记的 MFA 方式、通行密钥、安全密钥、手机号、恢复邮箱、受信任设备和应用连接，删除任何无法核实的项目。
然后检查该身份背后的资源：邮箱转发和规则、已发送邮件、云文件共享、账号委托、付款设置、开发者令牌和近期变更。攻击者可能使用新建立的会话，而不再触发 MFA 提示。有人登录了我的账号中的恢复顺序可帮你梳理这些检查。
| 暴露程度 | 处置优先级 | 应保留的证据 |
|---|---|---|
| 拒绝了所有提示 | 保护第一因素并上报尝试 | 时间、应用名称、地点、来电或消息细节 |
| 已批准，暂未发现活动 | 撤销会话，重置 MFA 验证方式 | 在过期前保存登录和审计记录 |
| 已批准，并发现账号变更 | 恢复恢复设置和 MFA 设置，控制受影响的服务 | 变更前后的设置、新增因素、规则、授权、IP 或设备数据 |
| 涉及敏感工作、资金或受监管数据 | 上报负责团队并按事件流程处理 | 服务商日志、交易记录、数据访问范围、沟通记录 |
不要指望再来一次推送能“取消”第一次。在安全团队用上证据之前，不要删除它。如果涉及金融账号或付款，请通过可信渠道联系机构。如果攻击者说服服务台修改了验证因素，请告知响应人员，让他们检查恢复流程，而不只是密码。
机构如何降低 MFA 疲劳风险？
用数字匹配替代没有上下文的批准/拒绝提示，可行时改用抗钓鱼方式。停用薄弱和闲置的回退方式。审慎地应用速率限制、基于风险的控制、不可能的出行和陌生设备信号，并对反复拒绝或提示突增发出警报。无休止地重发提示的控制，反而可能放大攻击。
为用户提供在验证器中举报意外请求的明显入口，以及另一条联系支持人员的可信渠道。支持人员绝不应要求用户批准来历不明的提示或透露一次性验证码。服务台核验和重置验证因素的流程也需要保护，因为登录变难时，攻击者可能转向恢复路径。
监控整个认证过程：密码验证、MFA 挑战、批准和拒绝、验证因素登记、会话创建、OAuth 授权和敏感活动。关联分析比单纯计数提示更重要。多次失败之后出现一次批准和一台新设备，比一次孤立的重试更有意义。
最后，维护一条经过测试的恢复路径。转向通行密钥或硬件密钥的机构，应规划登记、丢失、更换、无障碍、出行、离线使用和紧急访问，而不是悄悄让所有人回退到可被钓鱼的方式。更全面的网络安全指南介绍了仍然必需的密码、设备和恢复层。
常见问题
意外 MFA 提示能证明密码已泄露吗？
不能绝对证明，但它可能意味着有人已走到 MFA 环节。请保护账号并查看活动，而不是认定通知无害。
应拒绝还是忽略提示？
App 支持时，拒绝并举报。然后独立检查账号。只是忽略反复出现的请求而不保护账号，第一因素的问题仍未解决。
Number matching 能阻止所有疲劳攻击吗？
不能。它通过把提示与显示的数字绑定，减少盲目和意外的批准。社会工程仍可操纵用户，其他账号恢复途径也可能仍然暴露。
TOTP 不怕钓鱼吗？
不是。TOTP 避免了意外的批准按钮，但实时钓鱼网站可以索取验证码，并在过期前转发出去。
Passkey 与 push MFA 相同吗？
不同。通行密钥使用与网站绑定的密码学凭据和本地设备验证；推送 MFA 则是让已登记的 App 批准另一次独立的认证尝试。
登录时正好出现提示怎么办？
比对服务、设备、地点、时间和数字。如果上下文与你发起的登录不符，就拒绝。
改密码会结束已批准的会话吗？
不一定。除了修改已暴露的密码，还要撤销陌生会话，并检查验证因素和恢复设置的变更。
为什么拒绝后仍要上报？
机构可以把你的报告与登录尝试关联起来，保护其他被针对的用户，封锁攻击基础设施，并在有人批准之前发现攻击活动。
本文提供一般安全教育。认证选项和撤销行为因服务商而异；请遵循受影响账号当前的恢复说明和机构的事件处理流程。
来源
- CISA — Implement Number Matching in MFA Applications — https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- Microsoft Learn — How number matching works in MFA push notifications for Authenticator — https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-mfa-number-match
- Microsoft Learn — Phishing-resistant MFA — https://learn.microsoft.com/en-us/security/zero-trust/sfi/phishing-resistant-mfa
Sources checked 2026 年 8 月 28 日。
