《手机被推了一晚上验证通知，员工手滑点了个“同意”——你那套“点了就过”的MFA，正在替黑客开门》

有一则极具现实警示意义的真实安全场景：攻击者通过撞库，从外部泄露数据中获取到企业员工的账号密码，随即持续发起登录请求。员工手机便会高频弹出身份验证推送，每隔几分钟就震动一次，提示“是否允许本次登录”。

一开始员工还会选择拒绝，之后慢慢习以为常选择忽略。等到深夜人已疲惫，或是接到冒充IT运维人员的诈骗电话：“正在进行单点登录测试，请您协助点击批准”，困倦之下手指误触，按下了同意。企业系统的访问大门就此被彻底打开。

这种攻击手段便是MFA疲劳攻击，又称推送轰炸。微软2026年一季度安全报告显示，企业账号遭受该类攻击的尝试同比暴涨78%；Google MTrends 2026也将其列为增长速度最快的社会工程攻击手段。多家安全厂商红队实测证明：经过数小时持续的验证推送轰炸，员工误批准登录的概率可达15%25%；凌晨、周末休息时段，攻击成功率还会进一步升高。

安全短板：把最后一道防线，托付给疲惫的人

推送弹窗式MFA，本身就存在先天缺陷：它将最终的认证决策权，交到状态不可控的员工手上。对方可能正在开会、正在驾驶，亦或是凌晨半梦半醒。攻击者不需要攻破复杂技术防线，只需要等待人的疏忽与疲惫，诱导用户主动放行。

一旦员工点击批准，在系统判定中这就是一次完全合法的登录行为。后续所有基于“身份已认证”的权限全部放行，攻击者便可长驱直入访问ERP、MES、图纸资料库，窃取工艺技术文档、批量导出客户资料，全程不会被拦截。

更值得警惕的是：大量疯狂弹出的验证通知，本身就是危险信号。这代表账号密码早已发生泄露，攻击者仅仅在等待那一次手滑确认。

而短信验证码的防护能力则更加薄弱，SIM卡克隆、针对运营商的社工攻击，都可以实现绕过。高权限账号若仅依靠短信做二次验证，防护几乎形同虚设。

防护方案：摒弃“一键放行”的MFA模式

人的疲劳与疏忽无法消除，需要升级认证机制，搭配数据兜底，阻断疲劳攻击的得逞路径。

◆启用数字匹配型MFA：替换简单点击批准的推送模式，登录页面展示随机数字，需要用户手动输入对应数字完成校验。杜绝闭眼盲点确认，从根源阻断推送轰炸攻击。

◆高权限账号部署FIDO2硬件密钥或Passkey。该类凭证与业务站点密码学强绑定，攻击者无法远程发起验证推送进行轰炸，不存在可被滥用的确认弹窗，是抵御钓鱼、疲劳攻击的优选方案。

◆配置登录限频与异常告警策略。同一账号短时间高频触发登录请求，直接锁定账号并推送告警给安全运维人员；针对异地陌生设备、异常境外登录等行为，直接拦截或强制触发更高等级复核。

◆文档加密兜底，守住核心资产：MFA守住系统访问入口，但入口之后还有核心业务文件。即便账号不幸被攻击者控制，上邦透明加密可保障图纸、客户名单等核心数据，一旦脱离授信使用环境就变为乱码无法读取。身份安全做好前置防护，文档加密做最后兜底，攻击者就算闯入系统，也无法带走有效业务数据。

写在最后

不少企业防火墙、终端门禁、文档加密层层部署，安全建设投入不菲，但多因素认证还停留在“点一下就放行”的旧版本。

在上邦深耕终端与文档安全的实践中，见过多起安全事故：攻击者没有攻破任何网络边界，仅仅等候员工疲惫时的一次误点击就拿下权限。升级具备抗钓鱼能力的MFA体系，叠加文档加密兜底防护，完全可以避免这种“内部人员亲手开门”造成的安全损失。