Imagina que estás trabajando y tu teléfono vibra. Una aplicación te pide aprobar un inicio de sesión que no realizaste y lo rechazas, pero segundos después aparece otra solicitud, luego otra y otra más.
La insistencia puede provocar confusión o cansancio, hasta que el usuario termina aprobando una de ellas simplemente para dejar de recibir notificaciones.
Esto es lo que buscan los ciberdelincuentes mediante la fatiga de MFA (MFA fatigue), una técnica que aprovecha la autenticación multifactor para intentar engañar al usuario.
El ataque suele comenzar cuando el delincuente ya consiguió la contraseña de la víctima mediante phishing, filtraciones de datos o reutilización de credenciales.
Al intentar acceder, el sistema solicita el segundo factor de autenticación y como el atacante no puede completarlo, envía repetidamente solicitudes al dispositivo de la víctima con la esperanza de que esta apruebe alguna por error, distracción o cansancio.
En este caso, la vulnerabilidad no está necesariamente en la tecnología, sino en la decisión del usuario.
Desconfía si:
Recibes solicitudes MFA que no generaste.
Las notificaciones llegan repetidamente en pocos minutos.
Alguien te pide por llamada, mensaje o correo que apruebes un acceso.
Detectas sesiones o dispositivos que no reconoces.
Si recibes una solicitud inesperada: No la apruebes.
La autenticación multifactor es una importante barrera de seguridad, pero también requiere nuestra atención. por lo que si no intentaste iniciar sesión, no apruebes la solicitud.
INSTITUTO POLITÉCNICO NACIONAL
D.R. Instituto Politécnico Nacional (IPN). Av. Luis Enrique Erro S/N, Unidad Profesional Adolfo López Mateos, Zacatenco, Alcaldía Gustavo A. Madero, C.P. 07738, Ciudad de México. Conmutador: 55 57 29 60 00 / 55 57 29 63 00.
Esta página es una obra intelectual protegida por la Ley Federal del Derecho de Autor, puede ser reproducida con fines no lucrativos, siempre y cuando no se mutile, se cite la fuente completa y su dirección electrónica; su uso para otros fines, requiere autorización previa y por escrito de la Dirección General del Instituto.
