Hrozba Push Bombing zneužívá únavu z notifikací

Každý den dostáváme desítky upozornění na chytrých telefonech i počítačích. Tato neustálá záplava signálů však vytvořila nebezpečný fenomén, který kybernetičtí zločinci čím dál častěji zneužívají. Metoda známá jako Push Bombing neboli útok na únavu z dvoufázového ověření představuje vážnou hrozbu pro běžné uživatele i velké korporace. Útočníci při ní spoléhají na to, že oběť po desátém stisknutí tlačítka jednoduše podlehne frustraci a potvrdí přihlášení, jen aby měla od neustálého vyzvánění klid.

Jak přesně kybernetický útok Push Bombing funguje?

Základním předpokladem pro tento druh útoku je, že útočník již získal vaše uživatelské jméno a heslo. To se stává poměrně často v důsledku úniků databází nebo úspěšného phishingu. K dokončení vstupu do účtu však útočníkovi chybí druhý faktor – schválení v mobilní aplikaci.

V tuto chvíli nastupuje agresivní taktika. Útočník spustí skript, který generuje desítky požadavků na přihlášení během několika minut. Vaše mobilní zařízení začne nekonečně vibrovat a zobrazovat výzvy k potvrzení. Útočníci tyto akce často plánují na pozdní noční hodiny, kdy je lidská pozornost nejslabší a touha ztišit telefon největší.

Útočníkům stačí, když se splátete nebo podlehnete únavě pouze jednou ze sta případů – systém vás pak okamžitě kompromituje.

Psychologie únavy z notifikací

Lidský mozek není přizpůsoben k tomu, aby neustále vyhodnocoval bezpečnostní rizika pod tlakem. Když na displeji neustále vysakuje okno požadující potvrzení, vytvoří se návykový reflex. Uživatelé často kliknou na tlačítko schválit automaticky, aniž by přemýšleli o důsledcích.

Jak vývojáři a bezpečnostní aplikace reagují

Výrobci operačních systémů a bezpečnostního softwaru si toto riziko plně uvědomují a zavádějí nová mechanická omezení, která mají bezhlavému potírací zabránit:

• Párování čísel (Number Matching): Místo jednoduchého tlačítka „Schválit“ musíte na telefonu opsat dvoumístný kód, který se zobrazí na obrazovce zařízení, kde probíhá pokus o přihlášení.
• Omezení počtu žádostí: Bezpečnostní systémy dnes automaticky zablokují účet nebo dočasně pozastaví zasílání notifikací, pokud zaznamenají neobvyklé množství požadavků v krátkém čase.
• Geografický kontext: Moderní ověřovače zobrazují přibližnou polohu a název aplikace, odkud požadavek pochází.

Jak se můžete efektivně chránit vy?

Předně, pokud vám bez zjevného důvodu začnou chodit výzvy k potvrzení přihlášení, okamžitě zkontrolujte své účty a změňte si heslo. To totiž znamená, že vaše přístupové údaje již byly kompromitovány. Nikdy nepotvrzujte požadavky, které jste sami neinicializovali, a pokud je to možné, přecházejte na modernější metody, jako jsou FIDO2 bezpečnostní klíče nebo biometrické pasové klíče (passkeys).

Fenomén zvaný Push Bombing jasně ukazuje, že nejslabším článkem bezpečnosti zůstává lidský faktor a neustálý digitální šum kolem nás.

Setkali jste se již někdy s tím, že vám na telefon dorazila výzva k přihlášení, kterou jste sami nevyvolali? Podělte se o své zkušenosti v komentářích pod článkem!