Authentication & Authorization
ב-2022, Uber נפרצה על ידי teenager אחד. הוא שלח הודעות WhatsApp לעובד Uber והתחזה ל-IT Support. אחרי שעות של הצקה, העובד קיבל Fatigue MFA ולחץ "Approve". הטינאג'ר היה בתוך הרשת הפנימית של Uber, עם גישה ל-HackerOne (תוכנית ה-bug bounty שלהם), AWS, GCP, Slack, ו-Email. הוא שלח הודעה בשם Uber ל-Slack של החברה: "I am a hacker and Uber has been hacked."
MFA היה מוגדר. הוא לא עזר. MFA Fatigue Attack - עייפות מכמות ה-push notifications - הוא וקטור מתקפה מוכח.
FBI 2022 BEC losses - Business Email Compromise alone