Qué es y cómo se lleva a cabo un MFA fatigue attack
Muchas empresas y plataformas han adoptado la autenticación multifactor (MFA) como mecanismo para asegurar sus servicios o herramientas digitales. Se trata de una capa extra de seguridad para entrar en una cuenta en la que en lugar de utilizar únicamente una contraseña se piden dos o más pruebas para comprobar que realmente es el usuario quien trata de acceder.
En este caso los ciberdelincuentes no se sirven de ninguna vulnerabilidad técnica, sino lo que hacen es aprovecharse de la respuesta psicológica de los usuarios ante un aluvión de notificaciones de autenticación.
Es decir, en estos incidentes el atacante bombardea el dispositivo del usuario con repetidas solicitudes de MFA, que suelen llegar como notificaciones push, hasta que la víctima se cansa, confunde, o aprueba por error una de ellas.
Después de unas cuantas, la persona puede sentirse confundida, pensar que se trata de un fallo del sistema o simplemente querer que los avisos cesen. Por tanto, la ―mala― idea es que el usuario lo autorice simplemente para que deje de recibir la molestia.
«A medida que los ciberataques se vuelven más sofisticados, la autenticación multifactor se ha vuelto crucial para la seguridad de las cuentas. Sin embargo, introducir códigos cada vez que un usuario inicia sesión o realiza acciones sensibles puede ser tedioso y disruptivo. Este proceso repetitivo causa fatiga de la MFA y lleva a los usuarios a percibirla como un obstáculo en lugar de una protección», explican desde Silverfort en su página web.
Cómo funciona
Para comenzar, el pirata informático activa la solicitud de MFA en el dispositivo del usuario de manera repetida, a menudo mediante intentos de inicio de sesión fraudulentos. Este recibe notificaciones reiteradas en su teléfono que pueden generar frustración o fatiga. Así, empieza a ver el método más como una molestia en lugar de una medida de seguridad.
Cada intento genera una alerta de verificación en el móvil del objetivo. Si este la rechaza, el atacante vuelve a intentarlo. Y otra vez. Y otra más. En pocos minutos, la víctima puede recibir decenas de avisos.
Buscando detener las notificaciones incesantes, el usuario puede precipitarse y aprobar una solicitud de autenticación. Al hacerlo, el atacante obtiene acceso a la cuenta o al sistema protegido por MFA. De esta forma se provocan filtraciones de datos, robo de cuentas o actividades maliciosas adicionales dentro de la red.
Este enfoque ha sido utilizado en ataques reales contra grandes empresas, como un incidente muy conocido en Uber ocurrido en 2022, donde un contratista aprobó inadvertidamente una solicitud MFA tras recibir múltiples notificaciones.
El principal problema es la dificultad para identificar estos ataques, dado que explotan características legítimas de los sistemas.
Por qué funcionan
Las razones por las que este tipo de incidentes funcionan son varias. La primera de ellas se debe a que las notificaciones push son frecuentes en entornos corporativos, lo que hace que los usuarios las aprueben casi automáticamente.
Además, los amigos de lo ajeno (que son muy listos), tratan de convertir lo que es un mecanismo de seguridad muy util en un obstáculo molesto que pueda provocar una respuesta impulsiva.
Cómo se pueden parar
Microsoft, que tiene expertos en seguridad de identidad como Alex Weinert, aconseja evitar métodos de MFA que solo requieran ‘tocar/ aprobar’, y recomienda técnicas como la coincidencia de números para evitar aprobaciones accidentales en ataques de fatiga MFA.
Además, las guías de seguridad de compañías como WorkOS explican medidas concretas como limitar las notificaciones de MFA, usar autenticación adaptativa o la utilizacion de métodos más resistentes, como llaves físicas. La educación a los usuarios también jugaría un papel fundamental para ponerles freno.
Según un estudio de la compañía de Redmond, hubo más de 382.000 intentos registrados de este tipo de ataques en un año. En la muestra aproximadamente el 1% aprobó sin querer la primera notificación de MFA que recibieron.