7 min. de lectura<\/p>\n
El 59 por ciento de las cuentas empresariales exitosamente comprometidas ten\u00edan la autenticaci\u00f3n multifactor (MFA) habilitada. El motivo: los ataques de Adversary-in-the-Middle (AiTM) y el robo de tokens de sesi\u00f3n hacen que el segundo factor sea ineficaz. Microsoft registra diariamente 40,000 casos de AiTM. La MFA basada en SMS se considera insegura por parte de la BSI y la CISA. La soluci\u00f3n se llama autenticaci\u00f3n resistente a phishing con FIDO2, Passkeys y claves de seguridad de hardware.<\/strong><\/p>\n Los ataques de Adversary-in-the-Middle funcionan como un proxy invisible entre el usuario y el servidor de autenticaci\u00f3n. El atacante reenv\u00eda la p\u00e1gina de inicio de sesi\u00f3n en tiempo real a trav\u00e9s de su servidor. El usuario introduce sus credenciales y el c\u00f3digo de MFA, el atacante captura ambos y obtiene el token de sesi\u00f3n. Desde la perspectiva del servidor, el inicio de sesi\u00f3n parec\u00eda leg\u00edtimo.<\/p>\n Los marcos como EvilGinx2 y Modlishka han automatizado estos ataques. Un atacante no necesita tener una alta habilidad t\u00e9cnica. Puede comprar un kit de phishing por unos cientos de d\u00f3lares, registrar una direcci\u00f3n web similar y esperar a los v\u00edctimas. Los tokens robados se pueden usar inmediatamente, a menudo durante horas o d\u00edas.<\/p>\n Los ataques basados en identidad<\/a> utilizan exactamente este vector. Seg\u00fan Microsoft, los ataques de robo de tokens fueron responsables de 31 por ciento de todas las violaciones en entornos de Microsoft 365 en 2025. La tendencia est\u00e1 aumentando, ya que m\u00e1s y m\u00e1s empresas han habilitado la MFA y los atacantes se han adaptado.<\/p>\n \n\u00abLos ataques basados en tokens superan completamente la MFA, ya que no atacan la autenticaci\u00f3n, sino la sesi\u00f3n posterior. El atacante asume una sesi\u00f3n ya autenticada.\u00bb SMS como segundo factor tiene tres debilidades fundamentales. Primero: SIM-swapping. Un atacante convence al proveedor de telefon\u00eda m\u00f3vil para transferir el n\u00famero de tel\u00e9fono a una nueva tarjeta SIM. Segundo: las vulnerabilidades de SS7. El protocolo de se\u00f1alizaci\u00f3n de los sistemas de telefon\u00eda m\u00f3vil permite capturar SMS en ciertas circunstancias. Tercero: los proxys AiTM capturan el c\u00f3digo de SMS en tiempo real, antes de que el usuario pueda ingresarlo.<\/p>\n La BSI recomienda desde 2024 expl\u00edcitamente cambiar a m\u00e9todos de autenticaci\u00f3n resistentes a phishing. La CISA (su contraparte en EE. UU.) tambi\u00e9n clasifica la MFA basada en SMS como \u00abno resistente a phishing\u00bb y recomienda soluciones basadas en FIDO2.<\/p>\n Claves de seguridad FIDO2\/WebAuthn<\/strong> (por ejemplo, YubiKey, Google Titan): La opci\u00f3n m\u00e1s segura. La clave est\u00e1 criptogr\u00e1ficamente vinculada a la dominaci\u00f3n. Incluso si un usuario cae en una p\u00e1gina de phishing, la clave no puede autenticarse para la dominaci\u00f3n equivocada. Desventaja: Costos (desde 25 euros por clave) y log\u00edstica en equipos grandes.<\/p>\n Passkeys<\/strong> (FIDO2 en el dispositivo): Reemplazan a los dispositivos de hardware de clave. Autenticaci\u00f3n biom\u00e9trica (impresi\u00f3n digital, Face ID) reemplaza al PIN. Vinculaci\u00f3n de dominaci\u00f3n como en las claves de hardware. Ventaja: No hay hardware adicional. Desventaja: Dependencia del fabricante del dispositivo (Apple, Google, Microsoft).<\/p>\n Aplicaciones de autenticador con Number Matching<\/strong> (por ejemplo, Microsoft Authenticator): No proporciona un protecci\u00f3n completa contra phishing, pero es significativamente m\u00e1s seguro que SMS. Number Matching obliga al usuario a ingresar una cifra desde la pantalla en la aplicaci\u00f3n. Ataques AiTM se vuelven m\u00e1s dif\u00edciles, pero no imposibles.<\/p>\n Autenticaci\u00f3n basada en certificados:<\/strong> Certificados de cliente en dispositivos administrados. Muy seguro, pero complejo en la administraci\u00f3n. \u00fatil para entornos de alta sensibilidad como operadores KRITIS y autoridades.<\/p>\n 1. Evaluaci\u00f3n de la situaci\u00f3n:<\/strong> \u00bfQu\u00e9 m\u00e9todos de MFA est\u00e1n en uso actualmente? \u00bfCu\u00e1ntos usuarios a\u00fan usan SMS o MFA de voz? Microsoft Entra ID y Google Workspace ofrecen informes sobre esto.<\/p>\n 2. Definir grupo piloto:<\/strong> Administradores de TI y l\u00edderes de primera. Estas cuentas son objetivos m\u00e1s valiosos y deben ser las primeras a ser cambiadas a FIDO2 o Passkeys.<\/p>\n 3. Configurar Accesso Condicional:<\/strong> En Microsoft Entra ID<\/a> se pueden configurar pol\u00edticas de Accesso Condicional para requerir MFA resistente a phishing para recursos espec\u00edficos (Fuerza de autenticaci\u00f3n: MFA resistente a phishing).<\/p>\n 4. Planificar opciones de respaldo:<\/strong> \u00bfQu\u00e9 pasa si una clave se pierde? Al menos dos claves de seguridad por usuario registradas. Configurar acceso temporal (TAP) como opci\u00f3n de emergencia.<\/p>\n 5. Desactivar gradualmente MFA de SMS:<\/strong> No desactivar inmediatamente, sino bloquear por pol\u00edtica para nuevas registraciones y migrar a los usuarios existentes con un plazo de finalizaci\u00f3n. Microsoft ofrece informes sobre \u00abMigraci\u00f3n de m\u00e9todos de autenticaci\u00f3n\u00bb.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n Aplicaciones de autenticador con Number Matching son significativamente m\u00e1s seguras que SMS, pero no son completamente resistentes a phishing. Ataques AiTM pueden capturar la entrada en tiempo real. Para cuentas de alto riesgo (administradores, l\u00edderes, acceso a datos sensibles) BSI y CISA recomiendan soluciones basadas en FIDO2.<\/p>\n<\/details>\n Claves de hardware como YubiKey cuestan desde 25 euros por unidad. Para un negocio de 100 personas con dos claves por usuario (clave principal y de respaldo), los costos est\u00e1n en torno a 5.000 euros. La configuraci\u00f3n est\u00e1 soportada nativamente en Microsoft Entra ID y Google Workspace y no requiere infraestructura adicional.<\/p>\n<\/details>\n Para la mayor\u00eda de los negocios, s\u00ed. Passkeys proporcionan la misma seguridad criptogr\u00e1fica que las claves FIDO2, pero utilizan el dispositivo existente (smartphone, laptop) en lugar de hardware separado. El compromiso: Passkeys est\u00e1n vinculados al dispositivo y su ecosistema (Apple, Google, Microsoft). En caso de p\u00e9rdida del dispositivo, se requiere un proceso de recuperaci\u00f3n.<\/p>\n<\/details>\n Accesso Condicional es un marco de pol\u00edticas en Microsoft Entra ID (y sistemas similares) que aplica reglas de acceso contextualmente. Esto permite a un negocio establecer: administradores deben usar FIDO2, acceso externo requiere un dispositivo administrado, las sesiones de tokens se finalizan despu\u00e9s de 4 horas. Sin Accesso Condicional, MFA solo es una medida de seguridad y no una estrategia integral.<\/p>\n<\/details>\n Microsoft Entra ID muestra las iniciaciones de sesi\u00f3n sospechosas de AiTM bajo \u00abIniciaciones de sesi\u00f3n peligrosas\u00bb con el tipo de detalles de riesgo \u00abFuente de token an\u00f3mala\u00bb. Adem\u00e1s, las alertas de impossible-travel (inicio de sesi\u00f3n desde dos pa\u00edses en un per\u00edodo de tiempo imposible) y el uso de tokens de sesi\u00f3n desde direcciones IP desconocidas pueden ser \u00fatiles.<\/p>\n<\/details>\n M\u00e1s del MBF Media Network<\/p>\n Fuente de la imagen del t\u00edtulo: Pexels \/ Sora Shimazaki<\/p>\n","protected":false},"excerpt":{"rendered":"El 59 por ciento de las cuentas empresariales exitosamente comprometidas ten\u00edan la autenticaci\u00f3n multifactor (MFA) habilitada. El motivo: los ataques de Adversary-in-the-Middle (AiTM) y el robo de tokens de sesi\u00f3n hacen que el segundo factor sea ineficaz. Microsoft registra diariamente 40,000 casos de AiTM. La MFA basada en SMS se considera […]","protected":false},"author":55,"featured_media":5451,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"segundo factor","_yoast_wpseo_title":"MFA-Bypass 2026: Por qu\u00e9 su segundo factor ya no lo protege","_yoast_wpseo_metadesc":"MFA-Bypass 2026: Descubre c\u00f3mo los ataques AiTM evaden tu autenticaci\u00f3n multifactor y protege tu empresa hoy. Lee m\u00e1s y refuerza tu seguridad.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5453"],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-8990","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":8,"wpml_language":"es","wpml_translation_of":5453,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=8990"}],"version-history":[{"count":7,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8990\/revisions"}],"predecessor-version":[{"id":20173,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8990\/revisions\/20173"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5451"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=8990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=8990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=8990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Lo m\u00e1s importante en resumen<\/h2>\n
\n
\u00bfC\u00f3mo los ataques AiTM desactivan la MFA?<\/h2>\n
\nObsidian Security, Investigaci\u00f3n de Ataques Basados en Tokens 2025<\/cite>\n<\/p><\/blockquote>\n\u00bfPor qu\u00e9 la MFA basada en SMS ya no es suficiente?<\/h2>\n
Alternativas resistentes a phishing en comparaci\u00f3n<\/h2>\n
Lista de control pr\u00e1ctica: Introducci\u00f3n de MFA resistente a phishing<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfUna aplicaci\u00f3n de autenticador es suficiente para MFA?<\/strong><\/summary>\n
\u00bfCu\u00e1nto cuesta la transici\u00f3n a claves de seguridad FIDO2?<\/strong><\/summary>\n
\u00bfPueden Passkeys reemplazar a las claves de hardware?<\/strong><\/summary>\n
\u00bfQu\u00e9 es Accesso Condicional y por qu\u00e9 es esencial para la seguridad de MFA?<\/strong><\/summary>\n
\u00bfC\u00f3mo puedo detectar ataques AiTM en mi empresa?<\/strong><\/summary>\n
Consejos de lectura de la redacci\u00f3n<\/h2>\n
\n