MFA resistent al phishing: per què l'SMS ja no basta
L'MFA per SMS o push es salta amb phishing en temps real i fatiga d'MFA. Quins mètodes resisteixen de debò el phishing i com migrar sense bloquejar ningú.
- mfa
- passkeys
- fido2
- iam
- phishing
- entra-id
Un segon factor per SMS és millor que no tenir-ne cap, però ja no frena un atacant amb una mica de preparació. L'MFA resistent al phishing és el que no es pot reenviar a una web falsa: la credencial està lligada criptogràficament al domini legítim, així que encara que l'usuari piqui, el que entrega no serveix a cap altre lloc. Avui això vol dir claus FIDO2, passkeys i Windows Hello for Business, o certificats amb smart card.
Com es salta un MFA «normal»
Hi ha tres tècniques habituals, i cap no necessita trencar criptografia:
- Phishing en temps real (AiTM): un proxy invers es col·loca entre la víctima i el login real. L'usuari escriu usuari, contrasenya i codi, el proxy els reenvia al servei de veritat i es queda amb la cookie de sessió. Kits com Evilginx o EvilProxy ho deixen a l'abast de qualsevol.
- Fatiga d'MFA: l'atacant ja té la contrasenya i llança notificacions push una darrere l'altra fins que algú prem «Aprovar» perquè parin. A l'incident d'Uber del 2022 l'atacant va combinar això amb un missatge per WhatsApp fent-se passar pel suport intern.
- SIM swapping: amb el número de telèfon portat a una altra SIM, els codis per SMS arriben directament a l'atacant.
Els tres funcionen perquè el factor (un codi de sis dígits, un botó d'aprovar) no sap en quina web s'està fent servir.
Quins mètodes són resistents al phishing
CISA va publicar el 2022 una guia específica sobre això, Implementing Phishing-Resistant MFA, i la seva classificació continua sent una bona referència:
| Mètode | Resistent al phishing? |
|---|---|
| Codi per SMS o trucada | No |
| Codi TOTP (app autenticadora) | No |
| Push sense number matching | No |
| Push amb number matching | Millor, però no |
| Clau FIDO2 / passkey | Sí |
| Windows Hello for Business | Sí |
| Certificat (PKI / smart card) | Sí |
El number matching (l'usuari tecleja al mòbil el número que veu a la pantalla) acaba quasi del tot amb la fatiga d'MFA, i Microsoft el va activar per a tots els inquilins d'Authenticator el 2023. Però un proxy AiTM pot mostrar aquest número igual que mostra la pàgina de login, així que no protegeix contra el phishing en temps real.
Per què FIDO2 i les passkeys sí aguanten
Una passkey és un parell de claus. La privada no surt mai del dispositiu, i en registrar-la queda associada al domini exacte del servei. Quan el navegador rep una petició d'autenticació de login.micr0soft-secure.com, la passkey de login.microsoftonline.com senzillament no respon. No hi ha cap codi per copiar ni cap botó per prémer per cansament: l'usuari no té manera d'entregar res que valgui al domini fals.
Com migrar sense bloquejar ningú
L'error típic és voler activar-ho per a tothom el mateix dia. L'ordre que funciona:
- Comptes privilegiats primer. Administradors globals, d'Exchange, de seguretat. Són pocs, el risc és màxim i la gent que els fa servir entén per què es canvia.
- Comptes d'emergència (break-glass) amb clau FIDO2 física, guardada fora del flux diari.
- Usuaris amb més exposició: finances, recursos humans, direcció. Són els objectius habituals de frau BEC.
- La resta, per fases, deixant un mètode de reserva temporal i traient-lo quan el registre de passkeys passi d'un llindar que tinguis mesurat.
A Microsoft Entra ID això es controla amb les authentication strengths dins d'accés condicional: pots exigir «MFA resistent al phishing» només per a certs rols o aplicacions sense tocar la resta.
Preguntes freqüents
Una app autenticadora amb codi és segura?
És més segura que l'SMS perquè no depèn del número de telèfon, però el codi es pot introduir en una web falsa igual que una contrasenya. No és resistent al phishing.
Les passkeys sincronitzades al núvol compten?
Sí que resisteixen el phishing, perquè continuen lligades al domini. La diferència amb una clau física és on viu la clau privada: en una passkey sincronitzada depèn de la seguretat del compte d'Apple, Google o del gestor de contrasenyes. Per a comptes d'administració prefereixo clau física.
L'MFA resistent al phishing evita el robatori de cookies de sessió?
Evita l'AiTM, que és la forma més comuna de robar-les. Si un infostealer ja és a l'equip i s'emporta la cookie després del login, l'MFA no hi intervé; per a això calen controls de dispositiu i protecció de tokens.