# MFA Fatigue Attack คืออะไร? คู่มือป้องกัน Push Bombing สำหรับ SME ไทย 2026
ในยุคที่องค์กรทุกขนาดเปิดใช้งาน Multi-Factor Authentication (MFA) เพื่อปกป้อง Account จากการแฮก แต่กลับมีเทคนิคการโจมตีรูปแบบใหม่ที่ใช้ MFA เป็นเครื่องมือเอง — นั่นคือ MFA Fatigue Attack หรือที่เรียกว่า Push Bombing
เหตุการณ์ดังที่ทำให้ MFA Fatigue กลายเป็นภัยระดับโลก ได้แก่ Uber (2022), Cisco (2022), Microsoft (2024) และ MGM Resorts (2023) ที่สูญเสียกว่า 100 ล้านเหรียญ ทุกกรณีเริ่มจากแฮกเกอร์กดส่ง Push Notification หลายสิบครั้งจนพนักงานกด "Approve" ด้วยความรำคาญ
บทความนี้จะอธิบายว่า MFA Fatigue Attack ทำงานอย่างไร, เหตุการณ์จริงที่เกิดขึ้น, และที่สำคัญที่สุด — SME ไทยจะป้องกันได้อย่างไรในปี 2026 ด้วยเทคโนโลยี Number Matching, Phishing-Resistant MFA และ Policy ที่นำไปปรับใช้ได้จริง
MFA Fatigue Attack คืออะไร และทำงานอย่างไร
MFA Fatigue Attack คือเทคนิคการโจมตีที่ผู้ไม่ประสงค์ดีใช้ Username + Password ที่ขโมยมา (จาก Phishing, Data Leak, Credential Stuffing) แล้วพยายาม Login ซ้ำๆ เพื่อสร้าง MFA Push Notification ส่งไปที่อุปกรณ์ของเจ้าของบัญชีอย่างต่อเนื่อง
เป้าหมายของแฮกเกอร์มี 3 รูปแบบ:
| ขั้นตอนการโจมตี | สิ่งที่เกิดขึ้น |
|----------------|--------------|
| 1. Credential Theft | แฮกเกอร์ได้ Username/Password จาก Dark Web หรือ Phishing |
| 2. Login Attempt | พยายาม Login ระบบ (เช่น VPN, Microsoft 365, Okta) |
| 3. Push Spam | ส่ง Notification ทุก 5-30 วินาที ต่อเนื่อง 1-3 ชม. |
| 4. Social Engineering | โทร/แชทแอบอ้างเป็นแผนก IT |
| 5. Approve & Compromise | ผู้ใช้กด Approve = แฮกเกอร์ได้ Access Token |
เหตุการณ์จริง: บทเรียนจาก Uber, Cisco และ MGM
Uber (กันยายน 2022): Hacker วัยรุ่นใช้รหัสผ่านจาก Dark Web และส่ง Push Notification ให้ Contractor ของ Uber ต่อเนื่องกว่า 1 ชั่วโมง ก่อนจะส่งข้อความใน WhatsApp อ้างว่าเป็น IT บอกว่า "ถ้าอยากให้หยุด ให้กด Approve" — Contractor หลงเชื่อ ทำให้ Hacker เข้าถึง AWS, GCP, Slack, และ Vault
Cisco (พฤษภาคม 2022): พนักงาน Cisco ถูก Voice Phishing (Vishing) ขณะที่กำลังถูก Push Bombing ส่งผลให้ Hacker เข้าถึง VPN และยกระดับสิทธิ์ เพื่อขโมยไฟล์ภายในกว่า 2.8 GB
MGM Resorts (กันยายน 2023): กลุ่ม Scattered Spider ใช้ MFA Fatigue + Vishing โจมตี Help Desk ส่งผลให้ระบบล่ม 10 วัน เกิดความเสียหายกว่า 100 ล้านเหรียญ
ทุกกรณีมีจุดร่วมเดียวกัน: MFA แบบ "Push Approve" ที่ผู้ใช้แค่กดปุ่ม Yes หรือ No โดยไม่ต้องยืนยันอะไรเพิ่ม
เทคนิคการป้องกัน MFA Fatigue ที่ใช้ได้จริง
การปิด MFA ไม่ใช่ทางเลือก — เพราะการมี MFA ยังดีกว่าไม่มี แต่เราต้อง Upgrade รูปแบบให้ทนทานต่อ Fatigue Attack
1. Number Matching (ป้องกันได้ทันที)
แทนที่จะให้ User กด Approve อย่างเดียว ระบบจะแสดงเลข 2 หลักบนหน้า Login User ต้องพิมพ์เลขนั้นในแอป Authenticator ก่อน Approve
ผู้ให้บริการที่รองรับและควรเปิดใช้:
2. Phishing-Resistant MFA
มาตรฐาน FIDO2/WebAuthn ที่ผูกกับ Domain แท้ของระบบ ทำให้ Hacker ไม่สามารถ Forward MFA Request ได้
| ระดับ MFA | Resistance ต่อ Fatigue | คำแนะนำ |
|----------|----------------------|---------|
| SMS OTP | Vulnerable | เลิกใช้ |
| TOTP (Google Authenticator) | Phishable | ใช้ชั่วคราว |
| Push Notification (Approve only) | Vulnerable | ห้ามใช้ |
| Push + Number Matching | Resistant | ใช้ได้ |
| Passkey / FIDO2 / Hardware Key | Best | แนะนำสำหรับ Admin |
3. Rate Limiting + Detection
4. User Awareness Training
ฝึกพนักงานด้วย 3 หลักง่ายๆ:
5. Conditional Access Policy
ตั้งค่าใน Microsoft Entra ID, Okta หรือ Google Workspace:
เปรียบเทียบทางเลือก: SMS OTP vs Push vs Passkey
| คุณสมบัติ | SMS OTP | Push (Approve) | Push (Number Match) | Passkey/FIDO2 |
|----------|---------|---------------|--------------------|----------------|
| ป้องกัน Fatigue | Yes | No | Yes | Yes |
| ป้องกัน Phishing | No | No | Partial | Yes |
| ป้องกัน SIM Swap | No | Yes | Yes | Yes |
| User Experience | ปานกลาง | ดี | ดี | ดีมาก |
| Cost | ต่ำ | ต่ำ | ต่ำ | กลาง |
| เหมาะกับ | Legacy User | (ไม่แนะนำ) | SME ทั่วไป | Admin/Sensitive |
คำแนะนำสำหรับ SME ไทย: เริ่มต้นจาก Number Matching ทุก Account แล้วบังคับ Passkey เฉพาะ Role ที่มี Privilege สูง เช่น Admin Account, Finance, HR
Roadmap การปรับใช้สำหรับ SME ไทยในปี 2026
แนวทาง 90 วันสำหรับ SME ที่ยังใช้ Push Approve อยู่
Day 1-30: Quick Wins
Day 31-60: Policy Hardening
Day 61-90: Strategic Rollout
สรุป: MFA ที่มีอยู่ ยังไม่พอ
MFA ไม่ใช่กระสุนวิเศษอีกต่อไป — เพราะ Hacker สามารถใช้ MFA Fatigue โจมตีได้แม้องค์กรจะเปิดใช้งานครบทุก Account
Key Takeaways สำหรับ SME ไทย:
ต้องการ Implement Phishing-Resistant MFA + Conditional Access ในองค์กร? [ติดต่อทีม ADS FIT](https://www.adsfit.co.th/contact) เพื่อรับคำปรึกษาฟรี เราช่วยวาง Identity Security Roadmap ตามมาตรฐาน NIST 800-63B และ ISO 27001 ให้ SME ไทยได้