# ¿Puede el phishing saltarse la autenticación multifactor?

Sí, algunos tipos de MFA se pueden eludir, por eso importa el tipo. En un ataque de intermediario (adversary-in-the-middle), la página de phishing se sitúa entre usted y la página de inicio de sesión real: pasa en tiempo real su contraseña y su código de un solo uso o su aprobación push al servicio real, y se queda con la cookie de sesión que el servicio devuelve. Con esa cookie, el atacante ha iniciado sesión sin necesitar de nuevo la contraseña ni la MFA. Los códigos por SMS, los de aplicaciones de autenticación y las aprobaciones push simples están expuestos a esto. La MFA resistente al phishing, es decir, las llaves de seguridad FIDO2 y las passkeys, no lo está, porque la llave comprueba la dirección web y no responde a un sitio falso. Cualquier MFA sigue siendo mucho mejor que ninguna. Pasos prácticos: dé primero passkeys o llaves de seguridad a administradores y finanzas, active políticas de inicio de sesión que marquen dispositivos y ubicaciones desconocidos, y revoque sesiones, no solo contraseñas, tras cualquier incidente de phishing.

FAQ: [Phishing y qué hacer después](https://netsenx.com/es/faq/phishing) · https://netsenx.com/es/faq/can-phishing-bypass-multi-factor-authentication

## Siga leyendo

- https://netsenx.com/es/is-someone-inside-your-network
- https://netsenx.com/es/what-is-ndr

## Preguntas relacionadas

- [¿Restablecer la contraseña pone fin a la toma de un buzón?](https://netsenx.com/es/faq/does-a-password-reset-end-a-mailbox-takeover)
- [¿Qué son las llamadas falsas del CEO con deepfake y cómo protegernos?](https://netsenx.com/es/faq/what-are-deepfake-ceo-calls)
- [¿Qué es un ataque de CAPTCHA falso o ClickFix?](https://netsenx.com/es/faq/what-is-a-fake-captcha-clickfix-attack)
- [¿Siguen siendo peligrosos los adjuntos de correo?](https://netsenx.com/es/faq/are-email-attachments-still-dangerous)
- [¿Qué ve NetSenX después de que alguien haga clic en un enlace de phishing?](https://netsenx.com/es/faq/what-does-netsenx-see-after-a-phishing-click)