¿Puede el phishing saltarse la autenticación multifactor?

Sí, algunos tipos de MFA se pueden eludir, por eso importa el tipo. En un ataque de intermediario (adversary-in-the-middle), la página de phishing se sitúa entre usted y la página de inicio de sesión real: pasa en tiempo real su contraseña y su código de un solo uso o su aprobación push al servicio real, y se queda con la cookie de sesión que el servicio devuelve. Con esa cookie, el atacante ha iniciado sesión sin necesitar de nuevo la contraseña ni la MFA. Los códigos por SMS, los de aplicaciones de autenticación y las aprobaciones push simples están expuestos a esto. La MFA resistente al phishing, es decir, las llaves de seguridad FIDO2 y las passkeys, no lo está, porque la llave comprueba la dirección web y no responde a un sitio falso. Cualquier MFA sigue siendo mucho mejor que ninguna. Pasos prácticos: dé primero passkeys o llaves de seguridad a administradores y finanzas, active políticas de inicio de sesión que marquen dispositivos y ubicaciones desconocidos, y revoque sesiones, no solo contraseñas, tras cualquier incidente de phishing.

← Las 29 preguntas sobre Phishing y qué hacer despuésTodos los temas