MFA no es suficiente: por qué los atacantes ya sortean el doble factor

El MFA sigue siendo imprescindible, pero ya no es suficiente por sí solo

Activar la autenticación multifactor (MFA) reduce drásticamente el riesgo de que una contraseña filtrada se traduzca en un acceso no autorizado. Es, con diferencia, una de las medidas con mejor relación coste-beneficio en ciberseguridad. Pero tratarla como una barrera infranqueable es un error que muchos atacantes ya están explotando de forma sistemática.

El problema no es que el MFA "no funcione". El problema es que los atacantes han dejado de intentar romperlo técnicamente y han aprendido a rodearlo.

Las técnicas que ya sortean el doble factor

Fatiga de MFA (MFA bombing)

El atacante, ya en posesión de la contraseña de la víctima, lanza decenas de solicitudes de aprobación push seguidas, confiando en que la víctima acabe aprobando una por error, cansancio o para que dejen de sonar las notificaciones.

Adversary-in-the-middle (AiTM)

Kits de phishing como Evilginx colocan un proxy entre la víctima y el servicio legítimo: la víctima introduce su contraseña y su código MFA en una página que parece real, y el atacante captura la cookie de sesión ya autenticada en tiempo real. El código de un solo uso deja de ser una barrera porque el atacante nunca necesita reutilizarlo, solo robar la sesión ya validada.

SIM swapping

Cuando el segundo factor es un SMS, el atacante puede portar el número de teléfono de la víctima a una SIM bajo su control mediante ingeniería social con el operador, e interceptar así los códigos.

Helpdesk social engineering

El atacante llama al soporte técnico haciéndose pasar por un empleado que "ha perdido el móvil" y solicita que se reinicie o desactive temporalmente el MFA de su cuenta.

No todos los MFA son iguales

La resistencia real frente a estos ataques depende del tipo de factor usado, no solo de que exista un segundo factor:

• SMS y llamada de voz: el más débil, vulnerable a SIM swapping e interceptación.
• Apps de códigos de un solo uso (TOTP): mejor que SMS, pero sigue siendo vulnerable a AiTM porque el código se puede robar en tiempo real.
• Notificaciones push: cómodas, pero vulnerables a fatiga de MFA si no incorporan verificación de contexto (número que coincide, ubicación).
• Claves de seguridad físicas y passkeys (FIDO2/WebAuthn): resistentes a phishing por diseño, porque la autenticación está criptográficamente vinculada al dominio legítimo y no puede reutilizarse desde un proxy.

Qué hacer con esta información

• Migrar el segundo factor de SMS a TOTP o, mejor aún, a claves FIDO2/passkeys en las cuentas más críticas: administradores de sistemas, correo corporativo, accesos a la nube.
• Configurar el "number matching" en las notificaciones push, exigiendo introducir un número que aparece en la pantalla de origen, para neutralizar la fatiga de MFA.
• Formar al helpdesk con un protocolo de verificación de identidad reforzado antes de desactivar o reiniciar el MFA de cualquier cuenta.
• Monitorizar patrones anómalos: múltiples solicitudes MFA rechazadas seguidas de una aprobada, o accesos desde ubicaciones geográficamente incoherentes en poco tiempo.
• Aplicar el principio de mínimo privilegio, de forma que el robo de una sesión concreta no dé acceso a todo el sistema.

La lección de fondo

El MFA no ha dejado de ser eficaz; ha dejado de ser suficiente por sí solo. Sigue siendo, con diferencia, mejor que no tenerlo. Pero el nivel de madurez de una organización ya no se mide en si tiene MFA activado, sino en qué tipo de MFA usa en cada sistema según su criticidad, y en si sabe detectar cuándo alguien está intentando sortearlo.