L'abuso del push MFA è una tecnica che bombarda un utente con richieste ripetute di approvazione dell'autenticazione a più fattori fino a quando non diventa frustrato, distratto o convinto che le richieste siano legittime. Viene spesso chiamato push bombing o MFA fatigue. Di solito l'attaccante parte da credenziali rubate o da una sessione di phishing, quindi usa le richieste push per fare pressione sul bersaglio affinché approvi una di esse.
Questo è importante perché molti sistemi di identità considerano un'approvazione push come prova che sia presente l'utente corretto. Se l'utente viene ingannato e tocca Approva, l'attaccante può ottenere una sessione valida senza mai violare la password. I difensori riducono questo rischio con MFA resistente al phishing come FIDO2 o le passkey, corrispondenza numerica, controlli di attendibilità del dispositivo, limitazione della frequenza e avvisi per richieste ripetute o modifiche sospette alla registrazione. Negli attacchi reali, l'abuso del push MFA è spesso affiancato da pagine di accesso quasi identiche a quelle legittime, vishing o impersonificazione dell'help desk per far sembrare prevista l'approvazione.