La autenticación multifactor (MFA, por sus siglas en inglés) se consolidó durante la última década como una de las medidas más eficaces para proteger cuentas digitales frente al robo de credenciales. Su adopción masiva en servicios financieros, plataformas en la nube, aplicaciones empresariales y redes corporativas permitió reducir significativamente los accesos no autorizados provocados por contraseñas comprometidas.
Sin embargo, el panorama de amenazas ha cambiado. Los ciberdelincuentes ya no intentan únicamente descifrar contraseñas o vulnerar sistemas de autenticación. En la actualidad, centran sus esfuerzos en manipular al usuario, secuestrar sesiones legítimas y aprovechar errores de configuración para eludir los mecanismos de protección sin necesidad de romper el MFA.
Lejos de significar que esta tecnología haya dejado de ser efectiva, la evolución de los ataques demuestra que la seguridad digital requiere una estrategia más amplia que combine autenticación robusta, monitoreo continuo, protección de identidades y capacitación de los usuarios.
¿Qué es la autenticación multifactor y por qué sigue siendo importante?
La autenticación multifactor consiste en verificar la identidad de un usuario mediante dos o más factores independientes antes de conceder acceso a una cuenta o sistema.
Generalmente, estos factores pertenecen a tres categorías:
- Algo que el usuario conoce: una contraseña o PIN.
- Algo que posee: un teléfono móvil, una llave de seguridad física o una aplicación autenticadora.
- Algo que es: huella dactilar, reconocimiento facial o cualquier otro dato biométrico.
Este modelo reduce considerablemente el riesgo de que una contraseña robada sea suficiente para comprometer una cuenta.
Diversos estudios respaldan su eficacia. Una investigación de Microsoft concluyó que las cuentas protegidas con MFA presentan una reducción superior al 99 % en el riesgo de compromiso frente a ataques automatizados basados en credenciales robadas.
No obstante, el éxito del MFA también provocó un cambio en las tácticas empleadas por los atacantes.
La evolución de las amenazas: el objetivo ya no es romper el MFA
Durante años, los ciberdelincuentes intentaron obtener nombres de usuario y contraseñas mediante campañas de phishing, malware o filtraciones de bases de datos.
Hoy el escenario es diferente.
Las organizaciones han fortalecido sus mecanismos de autenticación, por lo que muchos grupos criminales prefieren dirigirse hacia el componente más difícil de proteger: el comportamiento humano.
En lugar de vulnerar directamente el segundo factor de autenticación, buscan convencer al usuario de aprobar una solicitud legítima o capturar una sesión ya autenticada.
Este cambio de estrategia explica el crecimiento de técnicas como el phishing en tiempo real, el robo de cookies de sesión y la denominada “fatiga del MFA”.
Las técnicas más utilizadas para evadir la autenticación multifactor
Phishing en tiempo real (Adversary-in-the-Middle)
Una de las técnicas más sofisticadas consiste en utilizar servidores intermediarios entre la víctima y el servicio legítimo.
El proceso ocurre prácticamente en tiempo real:
- La víctima accede a una página falsa casi idéntica a la original.
- Introduce su usuario y contraseña.
- El servidor malicioso retransmite inmediatamente la información al sitio legítimo.
- El usuario completa normalmente la autenticación multifactor.
- El atacante captura la sesión autenticada y obtiene acceso.
En este escenario, el MFA funciona correctamente. Lo que ha sido comprometida es la sesión ya validada por el usuario.
Este tipo de ataques, conocidos como Adversary-in-the-Middle (AiTM), se han convertido en una de las principales preocupaciones para los equipos de seguridad debido a que aprovechan credenciales y sesiones completamente válidas.
Fatiga de autenticación (MFA Fatigue o Prompt Bombing)
Otra técnica que ha ganado notoriedad consiste en bombardear al usuario con múltiples solicitudes de autenticación.
Los atacantes realizan repetidos intentos de inicio de sesión utilizando credenciales previamente robadas.
Cada intento genera una notificación en el dispositivo de la víctima.
Después de recibir decenas de alertas consecutivas, algunos usuarios terminan aceptando una de ellas por confusión, cansancio o simplemente para detener las notificaciones.
Lejos de explotar una vulnerabilidad técnica, este método aprovecha la psicología humana.
El Verizon Data Breach Investigations Report (DBIR) 2025 identificó esta modalidad —también denominada Prompt Bombing— como una de las técnicas emergentes más relevantes dentro de los ataques de ingeniería social.
Robo de cookies y secuestro de sesiones
No todos los ataques requieren superar el segundo factor de autenticación.
Algunas familias de malware están diseñadas para robar las cookies almacenadas por el navegador después de que el usuario inicia sesión correctamente.
Estas cookies representan sesiones autenticadas.
Si un atacante consigue copiarlas, puede reutilizarlas para acceder a la cuenta sin volver a solicitar usuario, contraseña o código MFA.
Por esta razón, el compromiso de un dispositivo puede resultar tan peligroso como el robo directo de las credenciales.
Ingeniería social avanzada
Los delincuentes también recurren a llamadas telefónicas, mensajes de texto o correos electrónicos cuidadosamente preparados.
En muchos casos se hacen pasar por:
- equipos de soporte técnico;
- administradores de TI;
- entidades bancarias;
- proveedores tecnológicos;
- responsables de seguridad.
El objetivo consiste en persuadir al usuario para que apruebe voluntariamente una solicitud de autenticación bajo el argumento de una supuesta actualización, mantenimiento o verificación urgente.
Cuando la víctima acepta la notificación, el atacante obtiene acceso legítimo.
Malware especializado en credenciales
Las campañas modernas ya no se limitan a capturar contraseñas.
Actualmente existen programas maliciosos capaces de:
- extraer cookies del navegador;
- robar tokens de autenticación;
- capturar sesiones activas;
- registrar pulsaciones del teclado;
- obtener credenciales almacenadas automáticamente;
- recopilar información para futuras campañas de phishing.
Este tipo de malware se ha convertido en uno de los principales facilitadores de ataques contra identidades digitales.
La inteligencia artificial está acelerando la sofisticación del phishing
La incorporación de inteligencia artificial generativa ha reducido significativamente el tiempo necesario para preparar campañas de fraude digital.
Los atacantes pueden generar en cuestión de minutos:
Correos electrónicos prácticamente perfectos
Los errores gramaticales que durante años ayudaban a identificar campañas de phishing son cada vez menos frecuentes.
Sitios web visualmente idénticos
La IA facilita la creación de páginas falsas extremadamente convincentes, capaces de reproducir con precisión la apariencia de servicios legítimos.
Mensajes personalizados
Los modelos generativos permiten adaptar automáticamente el contenido según la empresa, el cargo o el contexto de la víctima.
Automatización a gran escala
Las campañas pueden dirigirse simultáneamente a miles de usuarios manteniendo un alto grado de personalización, incrementando considerablemente la probabilidad de éxito.
Casos recientes que evidencian la evolución de estas amenazas
Durante los últimos años han surgido plataformas de Phishing-as-a-Service (PhaaS) especializadas en evadir la autenticación multifactor.
Uno de los ejemplos más conocidos fue Tycoon 2FA, un servicio clandestino que proporcionaba infraestructura lista para ejecutar ataques AiTM contra organizaciones de todo el mundo.
En 2025, una operación internacional liderada por autoridades europeas y apoyada por empresas tecnológicas permitió desmantelar gran parte de esta infraestructura tras identificar cientos de dominios utilizados para campañas de phishing. Según información publicada por Europol y difundida por diversos medios especializados, la plataforma había sido utilizada para atacar cerca de 100.000 organizaciones.
Este caso demuestra cómo el ecosistema criminal está evolucionando hacia modelos comerciales donde herramientas altamente sofisticadas pueden ser utilizadas incluso por atacantes con poca experiencia técnica.
Qué dicen las estadísticas más recientes
Los informes de inteligencia de amenazas publicados durante 2025 muestran que la autenticación multifactor continúa siendo una medida altamente efectiva, aunque los métodos empleados para intentar eludirla son cada vez más sofisticados.
Entre los datos más relevantes destacan:
- El 22 % de las brechas analizadas por Verizon tuvieron como vector inicial el uso de credenciales comprometidas.
- Los intentos específicos de evasión del MFA representan una proporción mucho menor del total de incidentes, pero muestran un crecimiento constante y una mayor complejidad técnica.
- En los ataques dirigidos específicamente contra MFA, el robo de tokens y sesiones autenticadas aparece entre las técnicas más utilizadas por los atacantes.
Estos datos evidencian que el problema no radica en la debilidad del MFA, sino en la evolución de las tácticas empleadas para aprovechar credenciales y sesiones legítimas.
Cómo pueden protegerse las organizaciones
La autenticación multifactor continúa siendo un componente esencial de cualquier estrategia de ciberseguridad. Sin embargo, los especialistas recomiendan complementarla con controles adicionales.
Adoptar autenticación resistente al phishing
Tecnologías como passkeys y los estándares FIDO2 reducen significativamente el riesgo de ataques AiTM al vincular la autenticación con el dispositivo legítimo.
Aplicar políticas de acceso condicional
Analizar variables como ubicación, dispositivo, horario o nivel de riesgo permite bloquear accesos sospechosos incluso cuando las credenciales son válidas.
Supervisar el comportamiento de las sesiones
La detección de cambios inusuales durante una sesión autenticada ayuda a identificar posibles secuestros de cookies o reutilización de tokens.
Capacitar continuamente a los usuarios
La formación sigue siendo una de las medidas más rentables para reducir el impacto del phishing, la ingeniería social y las campañas de fatiga de autenticación.
Mantener una estrategia de seguridad por capas
La combinación de protección de identidades, monitoreo continuo, segmentación de accesos, análisis de comportamiento y respuesta automatizada ofrece una defensa mucho más sólida que depender únicamente del MFA.
La autenticación multifactor sigue siendo un pilar, pero ya no puede actuar sola
La evolución de las amenazas demuestra que los ciberdelincuentes han cambiado de enfoque. En lugar de intentar romper los mecanismos criptográficos que protegen la autenticación multifactor, ahora buscan explotar el comportamiento de los usuarios, secuestrar sesiones legítimas y aprovechar herramientas cada vez más sofisticadas impulsadas por la automatización y la inteligencia artificial.
Aun así, la evidencia disponible confirma que el MFA continúa siendo una de las medidas de seguridad más eficaces para reducir el riesgo de accesos no autorizados. El desafío actual no consiste en reemplazarlo, sino en reforzarlo con tecnologías resistentes al phishing, monitoreo continuo de identidades, controles de acceso adaptativos y programas permanentes de concienciación.
En un entorno donde las amenazas evolucionan con rapidez, la protección de la identidad digital se ha convertido en uno de los activos más estratégicos para organizaciones y usuarios. La capacidad de anticiparse a estas nuevas técnicas marcará la diferencia entre contener un intento de intrusión o enfrentar una brecha de seguridad con consecuencias operativas, económicas y reputacionales.
Leave a Reply