MFA resistente a phishing: por qué el SMS ya no basta
El MFA por SMS o push se salta con phishing en tiempo real y fatiga de MFA. Qué métodos resisten de verdad el phishing y cómo migrar sin bloquear a nadie.
- mfa
- passkeys
- fido2
- iam
- phishing
- entra-id
Un segundo factor por SMS es mejor que no tener ninguno, pero ya no frena a un atacante con un mínimo de preparación. El MFA resistente a phishing es el que no se puede reenviar a una web falsa: la credencial está ligada criptográficamente al dominio legítimo, así que aunque el usuario pique, lo que entrega no sirve en otro sitio. Hoy eso significa llaves FIDO2, passkeys y Windows Hello for Business, o certificados con smart card.
Cómo se salta un MFA "normal"
Hay tres técnicas habituales, y ninguna necesita romper criptografía:
- Phishing en tiempo real (AiTM): un proxy inverso se coloca entre la víctima y el login real. El usuario escribe usuario, contraseña y código, el proxy los reenvía al servicio de verdad y se queda con la cookie de sesión. Kits como Evilginx o EvilProxy lo dejan al alcance de cualquiera.
- Fatiga de MFA: el atacante ya tiene la contraseña y lanza notificaciones push una tras otra hasta que alguien pulsa "Aprobar" para que paren. En el incidente de Uber de 2022 el atacante combinó eso con un mensaje por WhatsApp haciéndose pasar por el soporte interno.
- SIM swapping: con el número de teléfono portado a otra SIM, los códigos por SMS llegan directamente al atacante.
Los tres funcionan porque el factor (un código de seis dígitos, un botón de aprobar) no sabe en qué web se está usando.
Qué métodos son resistentes a phishing
CISA publicó en 2022 una guía específica sobre esto, Implementing Phishing-Resistant MFA, y su clasificación sigue siendo una buena referencia:
| Método | ¿Resistente a phishing? |
|---|---|
| Código por SMS o llamada | No |
| Código TOTP (app autenticadora) | No |
| Push sin number matching | No |
| Push con number matching | Mejor, pero no |
| Llave FIDO2 / passkey | Sí |
| Windows Hello for Business | Sí |
| Certificado (PKI / smart card) | Sí |
El number matching (el usuario teclea en el móvil el número que ve en pantalla) acaba casi del todo con la fatiga de MFA, y Microsoft lo activó para todos los inquilinos de Authenticator en 2023. Pero un proxy AiTM puede mostrar ese número igual que muestra la página de login, así que no protege contra el phishing en tiempo real.
Por qué FIDO2 y las passkeys sí aguantan
Una passkey es un par de claves. La privada nunca sale del dispositivo, y al registrarla queda asociada al dominio exacto del servicio. Cuando el navegador recibe una petición de autenticación de login.micr0soft-secure.com, la passkey de login.microsoftonline.com simplemente no responde. No hay código que copiar ni botón que pulsar por cansancio: el usuario no tiene forma de entregar algo que valga en el dominio falso.
Cómo migrar sin bloquear a nadie
El error típico es querer activarlo para todo el mundo el mismo día. El orden que funciona:
- Cuentas privilegiadas primero. Administradores globales, de Exchange, de seguridad. Son pocas, el riesgo es máximo y la gente que las usa entiende por qué se cambia.
- Cuentas de emergencia (break-glass) con llave FIDO2 física, guardada fuera del flujo diario.
- Usuarios con más exposición: finanzas, recursos humanos, dirección. Son los objetivos habituales de fraude BEC.
- El resto, por fases, dejando un método de respaldo temporal y quitándolo cuando el registro de passkeys pase de un umbral que tengas medido.
En Microsoft Entra ID esto se controla con las authentication strengths dentro de acceso condicional: puedes exigir "MFA resistente a phishing" solo para ciertos roles o aplicaciones sin tocar al resto.
Preguntas frecuentes
¿Una app autenticadora con código es segura?
Es más segura que el SMS porque no depende del número de teléfono, pero el código se puede introducir en una web falsa igual que una contraseña. No es resistente a phishing.
¿Las passkeys sincronizadas en la nube cuentan?
Sí resisten el phishing, porque siguen ligadas al dominio. La diferencia con una llave física es dónde vive la clave privada: en una passkey sincronizada depende de la seguridad de la cuenta de Apple, Google o del gestor de contraseñas. Para cuentas de administración prefiero llave física.
¿El MFA resistente a phishing evita el robo de cookies de sesión?
Evita el AiTM, que es la forma más común de robarlas. Si un infostealer ya está en el equipo y se lleva la cookie después del login, el MFA no interviene; para eso hacen falta controles de dispositivo y protección de tokens.