proto.lib

MFA Push Fatigue và cách phòng thủ (Number Matching)

Kẻ tấn công đã có mật khẩu hợp lệ nhưng thiếu MFA sẽ spam push notification liên tục cho tới khi người dùng mệt mỏi bấm nhầm Approve, hoặc bị social-engineer để chấp thuận; number matching cùng các lớp phòng thủ khác vô hiệu hoá kiểu tấn công này.

SecurityTrung bình2026-08-21
MFA Push Fatigue và cách phòng thủ (Number Matching)

Tags

#mfa#push-fatigue#number-matching#social-engineering#phishing-resistant#soc-alerting

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Bề mặt tấn công của Account Recovery

Kẻ tấn công không phá được passkey hay MFA sẽ nhắm vào luồng khôi phục tài khoản — social engineering với support, email dự phòng cũ, số điện thoại bị tái cấp; recovery phải được bảo vệ ít nhất bằng độ mạnh của phương thức đăng nhập chính, không phải một cửa hậu yếu hơn.

#account-recovery#social-engineering#phone-recycling#support-impersonation
SecurityTrung bình

Phòng thủ Credential Stuffing

Kết hợp rate limiting, kiểm tra mật khẩu đã lộ (breached-password check) và MFA để chặn tấn công dùng lại cặp username/password bị rò rỉ hàng loạt.

#credential-stuffing#rate-limiting#mfa#breached-passwords
SecurityCơ bản

Lockfile là hàng rào cung ứng: integrity, npm ci và audit PR

package-lock.json không chỉ ghi số phiên bản mà còn ghi resolved URL và integrity hash sha512 của từng tarball; npm ci từ chối cài khi lệch lock, còn reviewer cần soi resolved URL lạ và chặn script cài đặt tuỳ tiện để đóng các đường tiêm mã qua chuỗi cung ứng npm.

#npm#lockfile#supply-chain#integrity-hash