Approve sign-in request
Enter the number shown on your other device to sign in.
Gotcha! This is MFA fatigue / push bombing.
This was a demo. No real push was sent.
What just happened?
MFA fatigue attacks happen after an attacker already has your password (leaked or phished). They try to log in over and over, firing dozens or hundreds of push notifications at your phone. The hope: you're sleepy, distracted, or just want the notifications to stop, so you tap Approve. That one tap gives them full access. Uber, Cisco, and many others have been breached exactly this way.
Red flags:
- Push notifications you didn't initiate. If you're not actively logging in, never approve.
- A flood of pushes. Multiple in quick succession = attack in progress.
- Pushes at odd hours. 3am, during holidays, etc.
- "Help desk" calls right after asking you to approve "to fix the issue" — a voice-phishing escalation.
What to do:
- Tap Deny / Report — never approve pushes you didn't initiate.
- Change your password immediately. The attacker already has the old one.
- Switch to number-matching MFA (Microsoft) or a hardware key (FIDO2/YubiKey) — these are phish-resistant.
- Notify IT/security. They can block the attacker session and check for other compromise.
Hebbes! Dit is MFA-fatigue / push-bombing.
Dit was een demo. Er is geen echte push verstuurd.
Wat is er net gebeurd?
MFA-fatigue-aanvallen vinden plaats nadat een aanvaller al je wachtwoord heeft (gelekt of gephisht). Ze loggen steeds opnieuw in en sturen tientallen of honderden pushmeldingen naar je telefoon. De gok: je bent moe, afgeleid of wilt gewoon dat de meldingen stoppen, dus tik je op Goedkeuren. Die ene tik geeft ze volledige toegang. Uber, Cisco en vele anderen zijn precies zo gehackt.
Rode vlaggen:
- Pushmeldingen die jij niet hebt aangevraagd. Log je zelf niet in? Nooit goedkeuren.
- Een stortvloed aan pushes. Meerdere kort achter elkaar = aanval bezig.
- Pushes op rare tijden. 3 uur 's nachts, tijdens vakantie, enz.
- "Helpdesk"-telefoontjes vlak erna met het verzoek om goed te keuren "om het probleem op te lossen" — stemphishing-escalatie.
Wat moet je doen:
- Tik Weigeren / Melden — keur nooit pushes goed die je niet zelf hebt gestart.
- Wijzig direct je wachtwoord. De aanvaller heeft het oude al.
- Stap over op number-matching MFA (Microsoft) of een hardwaresleutel (FIDO2/YubiKey) — die zijn phishing-bestendig.
- Waarschuw IT/security. Zij kunnen de aanvallerssessie blokkeren en op andere compromittering controleren.