La MFA fatigue es un tipo de ataque que afecta a la autenticación multifactor (MFA), una capa adicional de seguridad que muchas pymes, autónomos y gestorías utilizan para proteger sus sistemas y datos. Este ataque se basa en la saturación de notificaciones de aprobación, con el objetivo de que el usuario acepte sin prestar atención, poniendo en riesgo la seguridad de la empresa.
En este artículo explicamos qué es la MFA fatigue, cómo reconocerla, y qué medidas prácticas pueden adoptar las empresas para evitar ser víctimas de este tipo de amenazas, especialmente en entornos comunes como Microsoft 365, muy utilizado en negocios locales y profesionales.
Qué es MFA fatigue y por qué es importante para pymes y autónomos
La MFA fatigue, también conocida como fatiga MFA o push bombing, es un método de ataque que consiste en enviar múltiples solicitudes de autenticación a un usuario para que, cansado o confundido, termine aprobando una notificación maliciosa. Este tipo de ataque explota la confianza que los usuarios tienen en los sistemas de autenticación multifactor, que normalmente se consideran seguros.
Para las pymes y autónomos, que suelen manejar datos sensibles, información financiera y recursos críticos, la MFA fatigue representa un riesgo importante. La autenticación multifactor es una barrera clave contra accesos no autorizados, pero si se vulnera por fatiga, la seguridad queda comprometida, lo que puede derivar en pérdidas económicas, daños reputacionales y problemas legales.
Cómo identificar un ataque de MFA fatigue
Reconocer un ataque de MFA fatigue es fundamental para actuar a tiempo. Algunos indicios comunes incluyen:
- Recepción de múltiples notificaciones de autenticación en un corto periodo sin que el usuario haya iniciado sesión.
- Solicitudes de acceso desde ubicaciones o dispositivos desconocidos.
- Alertas de seguridad o bloqueos temporales por intentos repetidos de acceso.
- Usuarios que reportan confusión o dudas sobre notificaciones recibidas.
Detectar estos signos permite activar protocolos de seguridad y formación para evitar que el ataque tenga éxito.
Problemas habituales que ayuda a prevenir o resolver la MFA fatigue
Accesos no autorizados por robo de credenciales
La MFA reduce el riesgo de accesos indebidos cuando un atacante obtiene una contraseña, ya que requiere una segunda verificación. Sin embargo, la MFA fatigue puede anular esta protección si el usuario aprueba sin verificar, facilitando el acceso fraudulento.
Suplantación de identidad y fraude
Los ataques de push bombing pueden facilitar la suplantación de identidad, permitiendo que un atacante acceda con privilegios legítimos y realice acciones fraudulentas, como transferencias bancarias o modificaciones en sistemas internos.
Compromiso de cuentas en Microsoft 365 y otras plataformas
Microsoft 365 es una plataforma común en pymes y gestorías. La MFA fatigue puede ser especialmente peligrosa si no se configuran políticas adecuadas, exponiendo correos electrónicos, documentos y datos sensibles a accesos no autorizados.
Qué debería revisar una empresa antes de tomar decisiones sobre MFA
- Evaluar la configuración actual de la autenticación multifactor: Revisar qué métodos se están usando y si son vulnerables a ataques de fatiga.
- Comprobar si se utilizan métodos de autenticación más seguros: Como number matching, que requiere que el usuario introduzca un número mostrado en la notificación para aprobar.
- Revisar las políticas de acceso condicional: Limitar intentos, restringir accesos por ubicación o dispositivo y exigir MFA en situaciones de riesgo.
- Formar a los empleados y usuarios: Explicar los riesgos de la MFA fatigue y la importancia de no aprobar notificaciones sospechosas o inesperadas.
- Considerar alternativas más seguras: Como passkeys o autenticadores físicos (llaves USB, dispositivos biométricos).
- Verificar que las notificaciones MFA incluyan información clara: Para que el usuario pueda identificar la solicitud y detectar intentos maliciosos.
- Consultar fuentes oficiales y actualizadas: Como INCIBE o el NIST Cybersecurity Framework para buenas prácticas y recomendaciones.
Buenas prácticas recomendadas para proteger tu pyme o negocio local
Implementar number matching
Esta técnica requiere que el usuario introduzca un número mostrado en la notificación para aprobar el acceso, dificultando la aprobación accidental o maliciosa. Es especialmente útil para evitar que un atacante consiga acceso mediante múltiples solicitudes.
Uso de passkeys y autenticadores físicos
Las passkeys y dispositivos físicos como llaves USB o tokens ofrecen un nivel de seguridad superior, ya que requieren presencia física y no dependen de notificaciones push, que pueden ser ignoradas o aprobadas por fatiga.
Configurar políticas de acceso condicional
Limitar intentos, restringir accesos por ubicación o dispositivo y exigir MFA en situaciones de riesgo ayuda a minimizar la exposición a ataques de fatiga MFA. Por ejemplo, se puede bloquear el acceso si se detectan múltiples intentos fallidos o accesos desde países no habituales.
Formación continua y concienciación
Es fundamental que todos los empleados y colaboradores entiendan qué es la MFA fatigue, cómo identificarla y qué hacer en caso de recibir notificaciones sospechosas. La formación debe incluir simulacros y ejemplos prácticos adaptados al entorno de la empresa.
Errores frecuentes que conviene evitar
- Depender exclusivamente de notificaciones push sin controles adicionales o métodos más seguros.
- No formar a los usuarios sobre la importancia de revisar cada solicitud MFA y los riesgos asociados.
- Ignorar la configuración avanzada de seguridad en plataformas como Microsoft 365, que ofrecen opciones para mitigar estos ataques.
- Permitir múltiples intentos de aprobación sin límites ni alertas, lo que facilita el push bombing.
- No actualizar las políticas de seguridad según las recomendaciones oficiales y las nuevas amenazas.
Cuándo conviene pedir ayuda profesional
Si una pyme, autónomo o gestoría detecta intentos sospechosos de MFA fatigue o no cuenta con la experiencia para configurar correctamente la autenticación multifactor y las políticas de acceso, es recomendable contar con soporte especializado. Un equipo profesional puede evaluar riesgos, implementar soluciones avanzadas y formar al personal para mejorar la seguridad global.
Además, los expertos pueden ayudar a integrar estas medidas en el día a día de la empresa, garantizando que la seguridad no interfiera con la productividad y que se adapten a las necesidades específicas del negocio.
Preguntas frecuentes
¿Qué es exactamente la MFA fatigue?
Es un ataque que busca cansar al usuario con múltiples solicitudes de autenticación para que apruebe sin verificar, facilitando el acceso no autorizado.
¿La autenticación multifactor sigue siendo segura pese a la MFA fatigue?
Sí, pero requiere configuraciones y prácticas adecuadas para evitar que la fatiga permita accesos no autorizados. No es un fallo del sistema, sino un riesgo que se puede mitigar con buenas prácticas.
¿Qué alternativas existen a las notificaciones push para MFA?
Opciones como number matching, passkeys o autenticadores físicos ofrecen mayor seguridad frente a ataques de fatiga, ya que requieren una acción consciente y específica del usuario.
¿Cómo puede una pyme en Madrid mejorar su seguridad frente a estos ataques?
Revisando configuraciones, formando a empleados, aplicando políticas de acceso condicional y contando con asesoramiento profesional para implementar soluciones adaptadas a su entorno y recursos.
La MFA fatigue es un riesgo creciente que requiere atención específica para mantener la integridad de los sistemas y datos empresariales. En TechSoluciones, entendemos la importancia de adaptar la seguridad a las necesidades reales de cada pyme, autónomo o gestoría, ofreciendo soporte para implementar medidas efectivas y actualizadas.