--- title: "MFA Fatigue, Serangan Spam Notifikasi Persetujuan Login" description: "MFA fatigue membanjiri HP korban dengan notifikasi persetujuan login sampai ia menekan Setujui. Kenali tandanya dan cara menutup celah ini di kantor." url: "https://nivelva.com/insight/mfa-fatigue-serangan-spam-notifikasi-persetujuan-login" category: "Keamanan/Cyber Security" tags: ["mfa fatigue","2fa","push notification","keamanan akun","phishing"] author: "Lucas Tan" published: "2026-11-11T11:55:00+07:00" updated: "2026-11-11T11:55:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # MFA Fatigue, Serangan Spam Notifikasi Persetujuan Login > **Jawaban singkat:** MFA fatigue adalah serangan yang mengirim permintaan persetujuan login bertubi-tubi ke HP korban sampai korban menekan Setujui karena lelah atau bingung. Penangkalnya adalah number matching, batas jumlah permintaan, MFA tahan phishing seperti passkey, dan karyawan yang tahu harus melapor. MFA fatigue adalah serangan yang memanfaatkan rasa lelah: penyerang yang sudah memegang password korban mengirim permintaan persetujuan login berulang kali ke aplikasi autentikator di HP korban, sampai korban menekan **Setujui** hanya supaya notifikasinya berhenti. Kenapa ini penting? Banyak perusahaan merasa aman setelah mengaktifkan verifikasi dua langkah. Padahal metode "tekan Setujui di HP" punya titik lemah yang sama sekali tidak teknis, yaitu keputusan manusia di saat lengah, misalnya tengah malam atau di tengah rapat. ## Bagaimana serangan MFA fatigue berjalan? Polanya hampir selalu sama: 1. **Penyerang mendapatkan password.** Sumbernya bisa kebocoran data lama, password yang dipakai ulang di banyak situs, malware pencuri password, atau phishing biasa. 2. **Penyerang mencoba login.** Karena akun dilindungi MFA berbasis notifikasi push, HP korban menerima permintaan persetujuan. 3. **Permintaan diulang terus.** Penyerang mengulang percobaan login berkali-kali, kadang pada jam tidur supaya korban setengah sadar. 4. **Rekayasa sosial sebagai pelengkap.** Sebagian penyerang menghubungi korban lewat WhatsApp atau telepon, mengaku dari tim IT, dan meminta korban menyetujui notifikasi "untuk memperbaiki masalah". 5. **Korban menekan Setujui.** Penyerang masuk dengan sesi yang sah, dan dari sisi sistem login itu terlihat normal. Langkah pertama hampir selalu soal password. Kebiasaan memakai password yang sama di banyak tempat membuat langkah ini mudah, seperti dijelaskan di [bahaya password daur ulang](https://nivelva.com/insight/credential-stuffing-password-daur-ulang). ## Apa tanda akunmu sedang jadi sasaran? - Notifikasi persetujuan login muncul padahal kamu tidak sedang login. - Notifikasi datang beruntun dalam waktu singkat. - Lokasi atau perangkat yang tertera di notifikasi asing. - Ada pesan atau telepon dari "tim IT" yang meminta kamu menyetujui sesuatu di HP. Satu notifikasi asing saja sudah berarti satu hal penting: **password akun itu kemungkinan sudah diketahui orang lain.** Jangan hanya menolak notifikasinya, ganti juga password-nya. ## Metode MFA mana yang rentan? Tidak semua metode verifikasi punya risiko yang sama terhadap serangan ini. | Metode | Rentan MFA fatigue? | Catatan | |:--|:--|:--| | Push "Setujui / Tolak" tanpa konteks | Sangat rentan | Satu ketukan cukup untuk meloloskan penyerang | | Push dengan number matching | Jauh lebih tahan | Korban harus mengetik angka yang tampil di layar login | | Kode OTP aplikasi (TOTP) | Tidak lewat spam notifikasi | Masih bisa dipancing lewat halaman phishing | | OTP SMS | Tidak lewat spam notifikasi | Rentan SIM swap dan penyadapan | | Passkey atau kunci keamanan FIDO2 | Tahan phishing | Terikat ke perangkat dan domain asli | Number matching bekerja dengan cara sederhana. Layar login menampilkan angka, dan pengguna harus memasukkan angka yang sama di aplikasi autentikator. Penyerang yang membanjiri notifikasi tidak bisa memaksa korban tahu angka yang hanya tampil di layar penyerang. Pada Microsoft Authenticator, number matching diberlakukan untuk semua notifikasi push mulai 8 Mei 2023, dan CISA juga menganjurkannya sebagai langkah sementara bagi organisasi yang belum bisa memakai MFA tahan phishing. Perbandingan lebih lengkap antara aplikasi autentikator dan SMS ada di [mana lebih aman, 2FA aplikasi atau SMS OTP](https://nivelva.com/insight/totp-vs-sms-otp). ## Langkah menutup celah MFA fatigue di kantor ### Untuk admin IT - **Aktifkan number matching atau tampilan konteks** (nama aplikasi, lokasi) di semua layanan yang mendukung. Pada beberapa layanan besar, ini sudah wajib secara bawaan, tapi cek ulang layanan lain seperti VPN, SSO pihak ketiga, dan panel admin. - **Batasi jumlah permintaan.** Bila sistemmu mendukung, kunci sementara akun atau beri peringatan ke admin setelah beberapa permintaan ditolak berturut-turut. - **Pasang peringatan untuk login tak biasa**, misalnya dari negara atau perangkat baru. - **Naikkan ke MFA tahan phishing** untuk akun paling berharga: admin email, admin cloud, keuangan, dan akun pemilik domain. [Passkey](https://nivelva.com/insight/apa-itu-passkey) atau kunci keamanan fisik tidak bisa disetujui dari jauh oleh korban yang lengah. - **Matikan metode lama** yang tidak lagi diperlukan, supaya penyerang tidak bisa memilih jalur paling lemah. ### Untuk karyawan Pesan untuk karyawan cukup tiga kalimat, dan ulangi sampai hafal: jangan pernah menyetujui notifikasi login yang tidak kamu mulai sendiri. Tim IT tidak akan pernah meminta kamu menyetujui notifikasi lewat telepon atau chat. Kalau notifikasi asing muncul, tolak, lalu lapor. > **Menolak saja belum cukup:** > > Notifikasi asing berarti penyerang sudah melewati tahap password. Setelah menolak, segera ganti password akun itu, keluarkan semua sesi aktif bila tersedia, dan laporkan ke admin agar log login diperiksa. ## Apa yang dilakukan bila terlanjur menekan Setujui? Bergerak cepat lebih penting daripada merasa bersalah. Segera lapor ke admin, ganti password dari perangkat yang aman, dan minta admin mencabut semua sesi serta token yang aktif untuk akun itu. Admin perlu memeriksa apa yang terjadi selama penyerang masuk: aturan penerusan email baru, aplikasi yang diberi izin, perangkat MFA tambahan yang didaftarkan, atau file yang diunduh. Penyerang sering menambahkan metode MFA miliknya sendiri supaya bisa kembali tanpa perlu mengganggu korban lagi. Budaya lapor tanpa disalahkan sangat menentukan di sini. Karyawan yang takut dimarahi cenderung diam, dan setiap jam keterlambatan memberi penyerang waktu lebih lama di dalam sistem. Setelah keadaan aman, pakai kejadian itu sebagai bahan belajar bersama tanpa menyebut nama. Ceritakan bagaimana notifikasi datang, jam berapa, dan pesan apa yang menyertainya. Contoh nyata dari kantor sendiri biasanya lebih diingat karyawan daripada materi pelatihan umum. Tinjau juga apakah akun yang diserang memang perlu metode push, atau sudah saatnya dipindah ke passkey atau kunci keamanan. Untuk memastikan semua akun penting kantormu sudah memakai MFA dengan metode yang tepat, gunakan [checklist 2FA untuk akun bisnis](https://nivelva.com/insight/checklist-2fa-akun-bisnis) sebagai titik awal. ## Pertanyaan yang sering diajukan ### Apakah MFA jadi tidak berguna karena ada MFA fatigue? Tidak. MFA tetap menghentikan sebagian besar penyalahgunaan password curian. MFA fatigue hanya menunjukkan bahwa metode push tanpa konteks perlu diperkuat atau diganti. ### Apakah serangan ini hanya mengincar perusahaan besar? Tidak. Siapa pun yang memakai notifikasi persetujuan login dan passwordnya bocor bisa menjadi sasaran, termasuk akun email bisnis kecil. ### Bagaimana kalau notifikasi asing muncul terus walau sudah ganti password? Periksa apakah password baru juga bocor, misalnya karena perangkat terinfeksi malware. Pindai perangkat, ganti password dari perangkat lain yang bersih, dan minta admin memeriksa log login. ## Sumber - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/mfa-fatigue-serangan-spam-notifikasi-persetujuan-login Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com