{"id":8889,"date":"2023-10-05T09:00:00","date_gmt":"2023-10-05T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-5053\/"},"modified":"2026-07-04T12:35:53","modified_gmt":"2026-07-04T12:35:53","slug":"como-los-atacantes-eluden-la-mfa-adversario-en-el-medio-fatiga-de-mfa-y-robo-de-tokens","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2023\/10\/05\/como-los-atacantes-eluden-la-mfa-adversario-en-el-medio-fatiga-de-mfa-y-robo-de-tokens\/","title":{"rendered":"C\u00f3mo los atacantes eluden la MFA: Adversario en el medio, fatiga de MFA y robo de tokens"},"content":{"rendered":"<p><strong>La autenticaci\u00f3n multifactor (MFA) fue durante mucho tiempo considerada la bala de plata contra la compromisi\u00f3n de cuentas. Sin embargo, los atacantes han alcanzado a la tecnolog\u00eda: los proxies Adversary-in-the-Middle (AiTM) interceptan los tokens MFA en tiempo real, los ataques de fatiga de MFA agotan a los usuarios hasta su rendici\u00f3n, y el robo de tokens de sesi\u00f3n hace irrelevante el segundo factor. La MFA sigue siendo importante, pero ya no basta por s\u00ed sola.<\/strong><\/p>\n<h2>En resumen<\/h2>\n<ul>\n<li>Los proxies AiTM (Evilginx, Modlishka) interceptan los tokens MFA en tiempo real<\/li>\n<li>Fatiga de MFA: el hackeo de Uber en 2022 tuvo \u00e9xito mediante bombardeo de notificaciones push<\/li>\n<li>El robo de tokens de sesi\u00f3n mediante infostealers elude completamente la MFA<\/li>\n<li>FIDO2\/Passkeys es el \u00fanico est\u00e1ndar resistente al phishing<\/li>\n<\/ul>\n<h2>Adversario en el medio: el proxy invisible<\/h2>\n<p>Los ataques AiTM utilizan un proxy inverso entre el usuario y la p\u00e1gina leg\u00edtima de inicio de sesi\u00f3n. El usuario ve una copia perfecta, introduce sus credenciales y el c\u00f3digo MFA, y el proxy lo reenv\u00eda todo, capturando el token de sesi\u00f3n resultante. El atacante obtiene as\u00ed una sesi\u00f3n autenticada sin necesidad de poseer nunca el segundo factor.<\/p>\n<p>Herramientas como Evilginx2 hacen que este tipo de ataques sean sorprendentemente sencillos. Con un dominio de phishing convincente y un proxy configurado, la MFA queda anulada. Microsoft inform\u00f3 en 2023 que m\u00e1s de 10.000 organizaciones fueron afectadas por campa\u00f1as AiTM.<\/p>\n<h2>Fatiga de MFA: el ser humano como eslab\u00f3n m\u00e1s d\u00e9bil<\/h2>\n<p>En el ataque a Uber en 2022, el atacante bombarde\u00f3 a un empleado con notificaciones push de MFA  &#8211;  cientos en poco tiempo. Finalmente, la v\u00edctima puls\u00f3 \u00abAceptar\u00bb para detener la avalancha. Con una sola vez fue suficiente.<\/p>\n<p>La fatiga de MFA funciona porque la MFA basada en notificaciones push solo pregunta al usuario: \u00ab\u00bfEra usted?\u00bb. Sin contexto. Medidas de protecci\u00f3n: Number Matching (el usuario debe introducir un n\u00famero que aparece en la p\u00e1gina de inicio de sesi\u00f3n dentro de la app), limitaci\u00f3n de intentos y alertas basadas en anomal\u00edas ante actividad MFA inusual.<\/p>\n<h2>Robo de tokens de sesi\u00f3n: eludir la MFA sin atacarla directamente<\/h2>\n<p>El malware infostealer (Raccoon, Redline, Vidar) roba directamente del dispositivo cookies del navegador y tokens de sesi\u00f3n. Con un token de sesi\u00f3n v\u00e1lido, el atacante puede tomar el control de la sesi\u00f3n  &#8211;  la MFA ya fue superada en el inicio de sesi\u00f3n y ya no es relevante.<\/p>\n<p>El resultado: sesiones autenticadas se comercializan en mercados del darknet. Un token de sesi\u00f3n v\u00e1lido para una cuenta corporativa de M365 cuesta menos de 10 d\u00f3lares. La soluci\u00f3n: vinculaci\u00f3n de tokens (token-binding), acceso condicional con cumplimiento del dispositivo y invalidaci\u00f3n regular de sesiones.<\/p>\n<h2>La respuesta: FIDO2 y MFA resistente al phishing<\/h2>\n<p>La autenticaci\u00f3n basada en FIDO2 (llaves f\u00edsicas, passkeys) es por dise\u00f1o inmune a los ataques AiTM: la clave privada est\u00e1 vinculada al dominio. Un proxy en otro dominio no puede obtener una firma v\u00e1lida. Tampoco es posible el bombardeo de notificaciones push  &#8211;  el usuario debe tocar f\u00edsicamente la llave o confirmar mediante autenticaci\u00f3n biom\u00e9trica.<\/p>\n<p>Google informa: desde que impuso el uso obligatorio de FIDO2 para todos sus empleados (2017), no ha habido ni un solo ataque de phishing exitoso contra cuentas de empleados. La tecnolog\u00eda funciona  &#8211;  el reto est\u00e1 en su adopci\u00f3n en entornos empresariales.<\/p>\n<h2>Datos clave<\/h2>\n<p><strong>Campa\u00f1as AiTM:<\/strong> M\u00e1s de 10.000 organizaciones afectadas en 2023 (Microsoft)<\/p>\n<p><strong>Precio de un token de sesi\u00f3n:<\/strong> Menos de 10 USD en mercados del darknet<\/p>\n<p><strong>FIDO2 en Google:<\/strong> 0 ataques de phishing exitosos desde su implementaci\u00f3n en 2017<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfDeber\u00eda desactivar la MFA si puede ser eludida?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">De ninguna manera. La MFA sigue bloqueando m\u00e1s del 99 % de los ataques automatizados de robo de credenciales. Las t\u00e9cnicas de elusi\u00f3n mencionadas requieren un esfuerzo dirigido. La MFA sigue siendo obligatoria  &#8211;  pero debe complementarse con m\u00e9todos resistentes al phishing (FIDO2).<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 es el Number Matching en MFA?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">En lugar de solo mostrar \u00abAceptar\/Rechazar\u00bb, la p\u00e1gina de inicio de sesi\u00f3n muestra un n\u00famero de dos d\u00edgitos. El usuario debe introducir ese mismo n\u00famero en la app de autenticaci\u00f3n. Esto evita la aprobaci\u00f3n ciega en ataques de fatiga de MFA. Microsoft y Duo ofrecen Number Matching de forma nativa.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfProtege una VPN contra ataques AiTM?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">No. Los ataques AiTM apuntan a servicios en la nube (M365, Google Workspace) que se utilizan directamente a trav\u00e9s del navegador, no mediante VPN. La protecci\u00f3n reside en la autenticaci\u00f3n resistente al phishing y en pol\u00edticas de acceso condicional que verifican el cumplimiento del dispositivo.<\/p>\n<\/details>\n<h2>Art\u00edculos relacionados<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2026\/03\/06\/post_id-3837\/\">Tendencias de ciberseguridad 2026: los 7 desarrollos que deben conocer los responsables de seguridad<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2026\/02\/20\/post_id-3525\/\">Detectar correos de phishing generados por IA: 7 se\u00f1ales de alerta para 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2026\/02\/20\/post_id-3839\/\">Ciberseguridad 2030: cinco predicciones para la pr\u00f3xima d\u00e9cada de la seguridad inform\u00e1tica<\/a><\/li>\n<\/ul>\n<p style=\"font-weight:700;color:#e6e3da;font-size:1.05em;margin:48px 0 16px;\">M\u00e1s del MBF Media Network<\/p>\n<div style=\"display:flex;flex-direction:column;gap:14px;margin-bottom:40px;\"><a href=\"https:\/\/www.cloudmagazin.com\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#0bb7fd;\">cloudmagazin<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Cloud Magazin<\/span><\/a><a href=\"https:\/\/www.mybusinessfuture.com\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#aa8ac2;\">MyBusinessFuture<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">MyBusinessFuture<\/span><\/a><a href=\"https:\/\/www.digital-chiefs.de\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#d65663;\">Digital Chiefs<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Digital Chiefs<\/span><\/a><\/div>\n","protected":false},"excerpt":{"rendered":"La autenticaci\u00f3n multifactor (MFA) fue durante mucho tiempo considerada la bala de plata contra la compromisi\u00f3n de cuentas. Sin embargo, los atacantes han alcanzado a la tecnolog\u00eda: los proxies Adversary-in-the-Middle (AiTM) interceptan los tokens MFA en tiempo real, los ataques de fatiga de MFA agotan a los usuarios hasta su rendici\u00f3n, y el robo de [&hellip;]","protected":false},"author":55,"featured_media":5052,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"fatiga de mfa","_yoast_wpseo_title":"C\u00f3mo los atacantes eluden la MFA: Adversario en el medio, fatiga de MFA y robo d","_yoast_wpseo_metadesc":"MFA eludida: descubre c\u00f3mo los atacantes usan ataques de intermediario, fatiga de MFA y robo de tokens. Aprende a protegerte hoy.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5053"],"footnotes":""},"categories":[257],"tags":[238,241],"class_list":["post-8889","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es","tag-phishing","tag-zero-trust"],"evm_reading_time_minutes":5,"wpml_language":"es","wpml_translation_of":5053,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8889","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=8889"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8889\/revisions"}],"predecessor-version":[{"id":20229,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8889\/revisions\/20229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5052"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=8889"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=8889"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=8889"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}