iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う

iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う：この頃、セキュリティ界隈で 他人のiPhoneやApple Watchを狙ってパスワードのリセット通知を大量に送り付けるフィッシング詐欺攻撃が相次いで報告されている。「MFA爆弾」「MFA疲労」（MFA：多要素認証）と呼ばれる洪水のような通知は一度始まったら止める術がなく、Appleを装う相手にだまされてアカウントを乗っ取られる恐れもある。 「私のApple端末が全て、パスワードリセット通知で爆破された。Appleのシステム（を装った）通知（原文は「Apple system level alerts」）だったので、100件以上の通知で『許可しない』をクリックするまで、電話もウォッチもラップトップも使えなくなった」 大量の通知から15分ほどすると、今度はAppleのサポートをかた

[ustam]

認証アプリを使えば問題ないのかな？　認証アプリ以外に安全なMFA認証は無いって言われてたけど、こういう手法に対しても脆弱だったか。

[ya--mada]

Apple IDに登録する電話番号は普段に自分が使用するものではなく、Apple IDの認証専用の電話番号を持てと言っている。 https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/

[ntmukai]

MFA(多要素認証)爆弾

[mohri]

「何者かが、特定の時間内に送信できるパスワードリセットリクエスト通知の件数に関するレート制限をかわす方法を見つけたのではないかと研究者は推測」

[shodai]

“画面に表示されたのはAppleの公式サポートの電話番号。発信者電話番号を偽装する手口が使われたらしい。”

[tattyu]

知らん奴が一方的に送信したり出来るプッシュ型のSMSとかがクソだと言う話だよなこれ。。どうやって防ぐん。