{"id":980,"date":"2026-05-26T12:39:58","date_gmt":"2026-05-26T12:39:58","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/26\/por-que-su-segundo-factor-no-lo-esta-salvando-cyberdefensa-mx\/"},"modified":"2026-05-26T12:39:58","modified_gmt":"2026-05-26T12:39:58","slug":"por-que-su-segundo-factor-no-lo-esta-salvando-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/26\/por-que-su-segundo-factor-no-lo-esta-salvando-cyberdefensa-mx\/","title":{"rendered":"Por qu\u00e9 su segundo factor no lo est\u00e1 salvando \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se supon\u00eda que la autenticaci\u00f3n multifactor (MFA) cerrar\u00eda una brecha cr\u00edtica en la seguridad de la identidad. Significaba que, incluso si un atacante pose\u00eda las credenciales de la cuenta, no podr\u00eda iniciar sesi\u00f3n sin el segundo factor. Si bien esa l\u00f3gica era s\u00f3lida, los atacantes ahora han descubierto que no necesitan robar el segundo factor: solo necesitan que el usuario se lo entregue.<\/p>\n<p>Si su fuerza laboral se autentica con MFA basada en push, este ataque es una amenaza real para su organizaci\u00f3n hoy. Herramientas como <a href=\"https:\/\/specopssoft.com\/product\/specops-secure-access\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">Acceso seguro a Specops<\/a> est\u00e1n dise\u00f1ados espec\u00edficamente para cerrar esa brecha, pero antes de entrar en la soluci\u00f3n, vale la pena entender c\u00f3mo funciona esta t\u00e9cnica.<\/p>\n<h2>C\u00f3mo funciona el bombardeo inmediato del MFA<\/h2>\n<p>El ataque requiere tres elementos clave para funcionar:<\/p>\n<ul>\n<li>Credenciales de cuenta v\u00e1lidas, generalmente obtenidas de volcados de contrase\u00f1as violadas en la web oscura<\/li>\n<li>Un portal de inicio de sesi\u00f3n que utiliza MFA basado en push (como una VPN, Microsoft 365, Okta o Duo)<\/li>\n<li>Una v\u00edctima que recibe una alerta cada vez que el atacante intenta iniciar sesi\u00f3n.<\/li>\n<\/ul>\n<p>Los atacantes activan repetidamente el mensaje, intentando enga\u00f1ar al objetivo o desgastarlo para que apruebe la solicitud. A veces, los atacantes combinan el bombardeo inmediato con un <a href=\"https:\/\/specopssoft.com\/blog\/ai-vishing-voice-deception\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">llamada vishing<\/a> pretendiendo ser de TI, donde intentar\u00e1n dise\u00f1ar socialmente al objetivo. El peligro es que estos m\u00e9todos s\u00f3lo necesitan funcionar una vez.<\/p>\n<p>Si se aprueba el mensaje, el atacante inicia sesi\u00f3n como ese usuario. Los sistemas de seguridad normalmente no reciben alertas, ya que el inicio de sesi\u00f3n parece completamente leg\u00edtimo.<\/p>\n<h2>La brecha de Cisco<\/h2>\n<p>La violaci\u00f3n de Cisco de 2022 es un ejemplo clave de cu\u00e1n efectiva es esta t\u00e9cnica incluso contra programas de seguridad maduros. Un atacante vinculado al grupo de ransomware Yanluowang comprometi\u00f3 la cuenta personal de Google de un empleado de Cisco, que estaba sincronizando las credenciales almacenadas en el navegador, incluida la contrase\u00f1a VPN de Cisco del empleado.<\/p>\n<p>Desde all\u00ed, el atacante envi\u00f3 mensajes de MFA al tel\u00e9fono del empleado. Inicialmente, eso no funcion\u00f3, por lo que comenzaron a utilizar llamadas de vishing haci\u00e9ndose pasar por organizaciones de soporte confiables, hablando en varios acentos y, finalmente, convenciendo al empleado de que aceptara una notificaci\u00f3n autom\u00e1tica.<\/p>\n<p>Una vez aceptado, el atacante ten\u00eda acceso VPN como empleado. Luego inscribieron sus propios dispositivos en MFA para mantener la persistencia, escalaron a privilegios administrativos, alcanzaron servidores Citrix y controladores de dominio y exfiltraron alrededor de 2,8 GB de datos antes de ser desalojados. El hecho de que un bombardeo r\u00e1pido haya funcionado en contra de una empresa como Cisco, que est\u00e1 lejos de tener una postura de seguridad d\u00e9bil, pone de relieve cu\u00e1n peligroso y efectivo se ha vuelto el ataque.<\/p>\n<h2>\u00bfPor qu\u00e9 impulsar la MFA no elimina el riesgo?<\/h2>\n<p>El problema con MFA basado en push es que a los usuarios se les pide que aprueben o rechacen un inicio de sesi\u00f3n con muy poco para continuar. No hay una indicaci\u00f3n clara de d\u00f3nde se origin\u00f3 la solicitud, qu\u00e9 dispositivo se est\u00e1 utilizando o si el usuario inici\u00f3 el intento de inicio de sesi\u00f3n. De forma aislada, eso podr\u00eda ser manejable. Pero cuando las indicaciones comienzan a llegar repetidamente, es f\u00e1cil asumir que algo est\u00e1 fallando en lugar de reconocerlo como un ataque potencial.<\/p>\n<p>Si esto se combina con una llamada telef\u00f3nica oportuna de alguien que se hace pasar por soporte de TI, la situaci\u00f3n se vuelve a\u00fan m\u00e1s dif\u00edcil de evaluar. En ese punto, el usuario no act\u00faa descuidadamente, sino que responde a un escenario dise\u00f1ado para parecer rutinario y leg\u00edtimo, utilizando las credenciales que el atacante ya tiene.<\/p>\n<h2>Tres formas en que las organizaciones pueden evitar bombardeos r\u00e1pidos<\/h2>\n<h3 style=\"text-align: left;\"><b>1. Utilice factores MFA resistentes a la fatiga y al phishing<\/b><\/h3>\n<p>Las notificaciones push son la forma com\u00fan m\u00e1s d\u00e9bil de MFA. <a href=\"https:\/\/specopssoft.com\/blog\/mfa-phishing-fatigue-resistant\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">Resistente al phishing<\/a> Es m\u00e1s dif\u00edcil abusar de factores como las claves de seguridad FIDO2, tokens de hardware como YubiKey o c\u00f3digos de coincidencia de n\u00fameros de aplicaciones de autenticaci\u00f3n.<\/p>\n<p><a href=\"https:\/\/specopssoft.com\/product\/specops-secure-access\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">Acceso seguro a Specops<\/a> admite m\u00e1s de 15 proveedores de identidad e incluye estas opciones resistentes a la fatiga para el inicio de sesi\u00f3n de Windows, RDP y conexiones VPN, para que las organizaciones puedan retirar MFA de solo inserci\u00f3n para puntos de acceso de alto riesgo.<\/p>\n<table cellpadding=\"0\" cellspacing=\"0\" class=\"tr-caption-container\" style=\"float: left;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiN_IZn-B10sbxf4iQ8qZWfUp8JBNzJl0yWOLzBLl5umlvlT6ZX_CPma_0aoJgTJxEG_A4861eiB0jvgN15ARESEBOR3oL4Fm0dUODoWrfdAVCoY3otMlMERxwOrc9JQZ4cNEntpm2qIwXAbZ1jk8-3f9OwqVEBI9T09WSfqX7VOgrHNhjPFco51xCTKAd0\/s1700-e365\/1.gif\" style=\"clear: left; display: block; margin-left: auto; margin-right: auto;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiN_IZn-B10sbxf4iQ8qZWfUp8JBNzJl0yWOLzBLl5umlvlT6ZX_CPma_0aoJgTJxEG_A4861eiB0jvgN15ARESEBOR3oL4Fm0dUODoWrfdAVCoY3otMlMERxwOrc9JQZ4cNEntpm2qIwXAbZ1jk8-3f9OwqVEBI9T09WSfqX7VOgrHNhjPFco51xCTKAd0\/s1700-e365\/1.gif\" alt=\"\" border=\"0\" data-original-height=\"653\" data-original-width=\"1160\"\/><\/a><\/td>\n<\/tr>\n<tr>\n<td class=\"tr-caption\" style=\"text-align: center;\">Acceso seguro a Specops<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 style=\"text-align: left;\"><b>2. Bloquee las contrase\u00f1as comprometidas en la fuente<\/b><\/h3>\n<p>El bombardeo r\u00e1pido s\u00f3lo es posible cuando el atacante ya tiene una contrase\u00f1a v\u00e1lida. Escanear Active Directory (AD) continuamente contra una base de datos activa de contrase\u00f1as violadas y forzar un reinicio cuando aparece una coincidencia elimina el combustible para el ataque. Confiar en las pol\u00edticas de contrase\u00f1as predeterminadas de AD no detectar\u00e1 contrase\u00f1as reutilizadas, incrementales o violadas. Si no sabes d\u00f3nde te encuentras hoy, <a href=\"https:\/\/specopssoft.com\/product\/specops-password-auditor\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">Auditor de contrase\u00f1as de Specops<\/a> es un an\u00e1lisis gratuito de solo lectura de su AD que detecta vulnerabilidades como contrase\u00f1as comprometidas o cuentas de administrador inactivas.<\/p>\n<table cellpadding=\"0\" cellspacing=\"0\" class=\"tr-caption-container\" style=\"float: left;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh-Pk-dtmoSK6NGyDhBC89vXGuUbCaE7T78wi5RMk5Nk9YM2F5nUipWrr_A2-W16V4s378Msu99U4Uh2IVit8UGCXM1MCuyM6R18go62SBj2H1XHWFYrPzKcZLQwJztD2wot79BvjTvdEdwruHcyDMRzJxoj_WepKgRW_eiNz5fb7RFuyfWImZTPN76gYLQ\/s1700-e365\/2.gif\" style=\"clear: left; display: block; margin-left: auto; margin-right: auto;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh-Pk-dtmoSK6NGyDhBC89vXGuUbCaE7T78wi5RMk5Nk9YM2F5nUipWrr_A2-W16V4s378Msu99U4Uh2IVit8UGCXM1MCuyM6R18go62SBj2H1XHWFYrPzKcZLQwJztD2wot79BvjTvdEdwruHcyDMRzJxoj_WepKgRW_eiNz5fb7RFuyfWImZTPN76gYLQ\/s1700-e365\/2.gif\" alt=\"\" border=\"0\" data-original-height=\"653\" data-original-width=\"1160\"\/><\/a><\/td>\n<\/tr>\n<tr>\n<td class=\"tr-caption\" style=\"text-align: center;\">Auditor de contrase\u00f1as de Specops<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 style=\"text-align: left;\"><b>3. Agregue se\u00f1ales de riesgo al inicio de sesi\u00f3n.<\/b><\/h3>\n<p>Las pol\u00edticas de acceso condicional que tienen en cuenta la geograf\u00eda, la posici\u00f3n del dispositivo y los tiempos de inicio de sesi\u00f3n pueden bloquear o intensificar la autenticaci\u00f3n antes de que se env\u00ede un mensaje al tel\u00e9fono del usuario. Esto reduce la dependencia \u00fanicamente del comportamiento del usuario e introduce un contexto en tiempo real para detener los inicios de sesi\u00f3n sospechosos antes de que se conviertan en un compromiso exitoso de la cuenta.<\/p>\n<h2>El MFA sigue siendo importante<\/h2>\n<p>El r\u00e1pido bombardeo del MFA no es una raz\u00f3n para alejarse del MFA, pero s\u00ed resalta d\u00f3nde algunos factores fallan. Cuando las solicitudes de aprobaci\u00f3n pueden activarse repetidamente sin un contexto significativo, resulta m\u00e1s f\u00e1cil influir en el control de lo previsto.<\/p>\n<p>Si el impulso sigue siendo su segundo factor predeterminado, vale la pena reconsiderar esa decisi\u00f3n. Los m\u00e9todos de coincidencia de n\u00fameros o resistentes al phishing fortalecen el m\u00e9todo MFA en s\u00ed, mientras que el escaneo en busca de contrase\u00f1as comprometidas limita el riesgo de que los atacantes posean el primer paso de autenticaci\u00f3n. Si est\u00e1 buscando evolucionar la seguridad de su identidad con una MFA m\u00e1s s\u00f3lida, <a href=\"https:\/\/specopssoft.com\/contact-us\/?utm_source=thehackernews&amp;utm_medium=referral&amp;utm_campaign=thehackernews_referral_na&amp;utm_content=article\">hablar con especops<\/a>.<\/p>\n<div class=\"cf note-b\">\u00bfEncontr\u00f3 interesante este art\u00edculo? <span class=\"\">Este art\u00edculo es una contribuci\u00f3n de uno de nuestros valiosos socios.<\/span> S\u00edguenos en <a href=\"https:\/\/news.google.com\/publications\/CAAqLQgKIidDQklTRndnTWFoTUtFWFJvWldoaFkydGxjbTVsZDNNdVkyOXRLQUFQAQ\" rel=\"noopener\" target=\"_blank\">noticias de google<\/a>, <a href=\"https:\/\/twitter.com\/thehackersnews\" rel=\"noopener\" target=\"_blank\">Gorjeo<\/a> y <a href=\"https:\/\/www.linkedin.com\/company\/thehackernews\/\" rel=\"noopener\" target=\"_blank\">LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n<p><script async src=\"\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Se supon\u00eda que la autenticaci\u00f3n multifactor (MFA) cerrar\u00eda una brecha cr\u00edtica en la seguridad de la identidad. Significaba que, incluso si un atacante pose\u00eda las credenciales de la cuenta, no podr\u00eda iniciar sesi\u00f3n sin el segundo factor. Si bien esa l\u00f3gica era s\u00f3lida, los atacantes ahora han descubierto que no necesitan robar el segundo factor: [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":981,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[24,183,2720,127,918,2721,1013],"class_list":["post-980","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-cyberdefensa-mx","tag-esta","tag-factor","tag-por","tag-que","tag-salvando","tag-segundo"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/980","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=980"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/980\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/981"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=980"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=980"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=980"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}