Tu teléfono vibra.
Una aplicación de autenticación te pide que confirmes un inicio de sesión. No estás intentando acceder a ninguna cuenta, así que rechazas la solicitud.
Unos minutos después aparece otra. Después, otra más.
Puede parecer un error técnico, una notificación duplicada o una molestia que desaparecerá si pulsamos «Aprobar». Sin embargo, esa insistencia puede formar parte de un ataque deliberado.
Se conoce como fatiga MFA, MFA bombing o bombardeo de notificaciones. Su objetivo no es vulnerar técnicamente el segundo factor de autenticación, sino conseguir que seamos nosotros quienes abramos la puerta.
El atacante probablemente ya conoce tu contraseña
La autenticación multifactor añade una protección adicional a la contraseña. Aunque alguien consiga tus credenciales, todavía necesita superar una segunda comprobación: un código, una notificación, una llave de seguridad o una verificación desde tu dispositivo.
En un ataque de fatiga MFA, el ciberdelincuente ya dispone normalmente de un usuario y una contraseña válidos. Puede haberlos obtenido mediante phishing, una filtración de datos, malware o porque la misma contraseña se utilizaba en otro servicio.
Cuando intenta entrar, el sistema envía una solicitud de aprobación al teléfono del verdadero propietario de la cuenta.
El atacante no puede aprobarla, así que vuelve a intentarlo.
Una vez. Otra vez. Y las que sean necesarias.
La esperanza es que el usuario acabe pulsando “Aprobar” para detener las notificaciones, porque cree que corresponden a una sesión anterior o simplemente porque se equivoca.
En ocasiones, el ataque se refuerza con una llamada o un mensaje de alguien que se hace pasar por soporte técnico y pide confirmar la solicitud para “resolver un problema”.
La aplicación de autenticación es legítima. La notificación también. Lo que no es legítimo es el acceso que estás a punto de autorizar.
Por qué funciona
Recibimos tantas notificaciones que muchas veces respondemos casi de forma automática.
La insistencia genera cansancio. La interfaz conocida transmite confianza. Y una llamada urgente puede hacer que actuemos antes de pensar.
El atacante no necesita vulnerar el sistema si consigue que la persona que lo protege abra la puerta.
Por eso, una solicitud de autenticación inesperada no debe tratarse como una simple molestia. Puede ser la primera señal de que alguien conoce tu contraseña y está intentando acceder a tu cuenta.
Qué hacer si recibes una solicitud que no has iniciado
Recházala. No la apruebes para ver qué ocurre ni para conseguir que deje de aparecer.
Después:
- Accede a la cuenta desde la aplicación oficial o escribiendo tú mismo la dirección.
- Cambia la contraseña por una nueva y exclusiva.
- Revisa las sesiones abiertas, los dispositivos conectados y la actividad reciente.
- Cierra cualquier sesión o elimina cualquier método de autenticación que no reconozcas.
- Si es una cuenta profesional o institucional, informa al equipo de soporte o seguridad.
No compartas por teléfono códigos de un solo uso ni números mostrados durante la autenticación. Un supuesto técnico que te pide confirmar una solicitud que tú no has iniciado es una señal clara de alerta.
Una aprobación debería requerir algo más que un toque
Algunos sistemas ya exigen introducir en la aplicación de autenticación un número que aparece en la pantalla donde se está iniciando la sesión. Esta medida reduce las aprobaciones accidentales, aunque no sustituye a la atención del usuario.
Para las cuentas más sensibles, las llaves de seguridad y las passkeys ofrecen una protección mayor frente al phishing, porque vinculan la autenticación al servicio legítimo y no dependen de copiar códigos o aceptar notificaciones aisladas.
La autenticación multifactor sigue siendo una de las mejores defensas frente al robo de contraseñas. De hecho, el atacante insiste precisamente porque esa segunda barrera le está impidiendo entrar.
Lo que intenta es convertir una protección técnica en una decisión apresurada.
La próxima vez que aparezca una solicitud de acceso, comprueba primero si realmente la has iniciado tú.
