MFA-moeheid: De Groeiende Cyberdreiging voor Moderne Organisaties

februari 12, 2026

Multi-Factor Authenticatie (MFA) is een fundamentele pijler van moderne cyberbeveiliging, ontworpen om een extra beschermingslaag toe te voegen aan het traditionele wachtwoord. Echter, cybercriminelen hebben een methode ontwikkeld die deze verdediging tegen zichzelf keert: **MFA-moeheid**, ook bekend als 'MFA prompt bombing'. Deze aanvalstechniek is verraderlijk eenvoudig maar uiterst effectief. De aanvaller, die reeds in het bezit is van de inloggegevens van een gebruiker, initieert herhaaldelijk inlogpogingen. Dit resulteert in een constante stroom van push-notificaties op de smartphone van de medewerker. Het doel is de gebruiker te frustreren, te irriteren en te overspoelen tot het punt waarop hij of zij, al dan niet per ongeluk, op 'Goedkeuren' tikt om de stroom meldingen te stoppen. Deze methode misbruikt de menselijke psychologie en vormt een groeiende bedreiging voor organisaties die sterk leunen op cloud-diensten en hybride werkmodellen.

Luister naar dit artikel:

De effectiviteit van MFA-moeheid ligt diep geworteld in de menselijke psychologie. Het concept 'beslissingsvermoeidheid' speelt hierbij een cruciale rol. Na het negeren of afwijzen van talloze onverwachte authenticatieverzoeken, raakt de cognitieve alertheid van een medewerker uitgeput. De hersenen zoeken van nature naar de weg van de minste weerstand om een aanhoudende irritatie te beëindigen. Een simpele tik op 'Goedkeuren' lijkt dan een snelle oplossing. Daarnaast treedt er een desensibilisatie-effect op; de constante stroom van meldingen zorgt ervoor dat de gebruiker de urgentie en het belang van elke afzonderlijke prompt niet meer correct inschat. De grens tussen legitieme en kwaadaardige verzoeken vervaagt. Aanvallers maken hier slim gebruik van, soms door de aanval 's nachts of in het weekend uit te voeren, wanneer de gebruiker minder alert is en sneller geneigd is een verstoring te beëindigen.

Om de dreiging van MFA-spam effectief te bestrijden, moeten organisaties verder kijken dan de standaard push-notificaties met een simpele goedkeuringsknop. Een van de krachtigste technische tegenmaatregelen is de implementatie van MFA-methoden die actieve betrokkenheid van de gebruiker vereisen. 'Number matching', zoals toegepast in de Microsoft Authenticator-app, is hier een uitstekend voorbeeld van. De gebruiker moet een nummer dat op het inlogscherm wordt getoond, handmatig invoeren in de app. Dit maakt een toevallige of gedachteloze goedkeuring vrijwel onmogelijk. Een nog robuustere strategie is de overstap naar 'phishing-resistant' of wachtwoordloze authenticatiemethoden, zoals FIDO2-beveiligingssleutels (bijv. YubiKey) of biometrische verificatie via Windows Hello. Deze methoden zijn immuun voor MFA-moeheid omdat er geen prompt is die op afstand kan worden gespamd; de gebruiker moet fysiek aanwezig zijn en een bewuste handeling verrichten.

advertenties

Technologie alleen is onvoldoende om een organisatie volledig te beschermen tegen MFA-moeheid; een weerbare veiligheidscultuur is even essentieel. Continue security awareness training speelt hierin een sleutelrol. Medewerkers moeten worden getraind om de signalen van een MFA-fatigue-aanval te herkennen, zoals onverwachte of herhaaldelijke authenticatieverzoeken op vreemde tijdstippen. Belangrijker nog is dat zij een duidelijk en laagdrempelig proces kennen om dergelijke incidenten onmiddellijk te melden bij de IT- of security-afdeling, zonder angst voor repercussies. Dit vereist een cultuur waarin veiligheid een gedeelde verantwoordelijkheid is, actief ondersteund door het management. Het implementeren van beleidsregels, zoals het beperken van het aantal MFA-pogingen binnen een bepaalde periode, versterkt de verdediging door de last van de eindgebruiker naar het systeem te verplaatsen.

Olivia Nolan is redacteur bij MSP2Day, waar zij zich richt op het vertalen van complexe IT- en technologische ontwikkelingen naar toegankelijke en inspirerende artikelen. Met haar ervaring als content manager en social media expert weet zij inhoud niet alleen informatief, maar ook aantrekkelijk en relevant te maken voor een breed publiek.

De Financiële Impact van een Zero-Day Cisco-Kwetsbaarheid: Een FinOps Analyse

Kritieke VMware vCenter Server Kwetsbaarheid Vereist Onmiddellijke Actie