![<\/a><\/div>\nEn el panorama digital actual, los sistemas tradicionales de autenticaci\u00f3n basados \u200b\u200b\u00fanicamente en contrase\u00f1as han demostrado ser vulnerables a una amplia gama de ciberataques. Para salvaguardar los recursos comerciales cr\u00edticos, las organizaciones recurren cada vez m\u00e1s a la autenticaci\u00f3n multifactor (MFA) como una medida de seguridad m\u00e1s s\u00f3lida. MFA requiere que los usuarios proporcionen m\u00faltiples factores de autenticaci\u00f3n para verificar su identidad, lo que proporciona una capa adicional de protecci\u00f3n contra el acceso no autorizado.<\/p>\nSin embargo, los ciberdelincuentes son implacables en su b\u00fasqueda de formas de eludir los sistemas MFA. Uno de esos m\u00e9todos que est\u00e1 ganando terreno son los ataques de spam de MFA, tambi\u00e9n conocidos como fatiga de MFA o bombardeo de MFA. Este art\u00edculo profundiza en los ataques de spam de MFA, incluidas las mejores pr\u00e1cticas para mitigar esta creciente amenaza.<\/p>\n\u00bfQu\u00e9 es el spam MFA?<\/h2>\nEl spam MFA se refiere al acto malicioso de inundar el correo electr\u00f3nico, el tel\u00e9fono u otros dispositivos registrados de un usuario objetivo con numerosas indicaciones o c\u00f3digos de confirmaci\u00f3n de MFA. El objetivo detr\u00e1s de esta t\u00e1ctica es abrumar al usuario con notificaciones, con la esperanza de que, sin darse cuenta, apruebe un inicio de sesi\u00f3n no autorizado. Para ejecutar este ataque, los piratas inform\u00e1ticos requieren las credenciales de la cuenta de la v\u00edctima objetivo (nombre de usuario y contrase\u00f1a) para iniciar el proceso de inicio de sesi\u00f3n y activar las notificaciones de MFA.<\/p>\nT\u00e9cnicas de ataque de spam MFA<\/h2>\nExisten varios m\u00e9todos empleados para ejecutar ataques de spam MFA, que incluyen:<\/p>\n\nUtilizar herramientas o scripts automatizados para inundar los dispositivos de las v\u00edctimas objetivo con un gran volumen de solicitudes de verificaci\u00f3n.<\/li>\nEmplear t\u00e1cticas de ingenier\u00eda social para enga\u00f1ar al usuario objetivo para que acepte una solicitud de verificaci\u00f3n. <\/li>\nExplotar la API del sistema MFA para enviar una cantidad sustancial de solicitudes de autenticaci\u00f3n falsas al usuario objetivo.<\/li>\n<\/ol>\nAl emplear estas t\u00e9cnicas, los atacantes pretenden explotar cualquier aprobaci\u00f3n no intencionada y, en \u00faltima instancia, obtener acceso no autorizado a informaci\u00f3n o cuentas confidenciales.<\/p>\nEjemplos de ataques de spam MFA<\/h2>\nLos piratas inform\u00e1ticos aprovechan cada vez m\u00e1s los ataques de spam de MFA para eludir los sistemas MFA. Aqu\u00ed hay dos ciberataques notables ejecutados con esta t\u00e9cnica:<\/p>\n\nEntre marzo y mayo de 2021, los piratas inform\u00e1ticos eludieron la La empresa Coinbase<\/a> Autenticaci\u00f3n multifactor por SMS, considerada una de las empresas de intercambio de criptomonedas m\u00e1s grandes del mundo, y rob\u00f3 criptomonedas a m\u00e1s de 6.000 clientes.<\/li>\nEn 2022, los piratas inform\u00e1ticos inundaron Cripto.com<\/a> Clientes con una gran cantidad de notificaciones para retirar dinero de sus billeteras. Muchos clientes aprueban las solicitudes de transacciones fraudulentas sin darse cuenta, lo que genera una p\u00e9rdida de 4.836,26 ETH, 443,93 BTC y aproximadamente 66.200 d\u00f3lares estadounidenses en otras criptomonedas. <\/li>\n<\/ul>\nC\u00f3mo mitigar los ataques de spam de MFA<\/h2>\nMitigar los ataques de spam de MFA requiere la implementaci\u00f3n de controles t\u00e9cnicos y la aplicaci\u00f3n de pol\u00edticas de seguridad relevantes de MFA. A continuaci\u00f3n se presentan algunas estrategias eficaces para prevenir este tipo de ataques. <\/p>\nAplique pol\u00edticas de contrase\u00f1as seguras y bloquee las contrase\u00f1as infractoras<\/h3>\nPara que el ataque de spam MFA tenga \u00e9xito, el atacante primero debe obtener las credenciales de inicio de sesi\u00f3n del usuario objetivo. Los piratas inform\u00e1ticos emplean varios m\u00e9todos para adquirir estas credenciales, incluidos ataques de fuerza bruta, correos electr\u00f3nicos de phishing, relleno de credenciales y compra de credenciales robadas o violadas en la web oscura. <\/p>\nLa primera l\u00ednea de defensa contra el spam MFA es proteger las contrase\u00f1as de sus usuarios. La pol\u00edtica de contrase\u00f1as de Specops con protecci\u00f3n de contrase\u00f1a infringida ayuda a evitar que los usuarios utilicen credenciales comprometidas, reduciendo as\u00ed el riesgo de que los atacantes obtengan acceso no autorizado a sus cuentas.<\/p>\nCapacitaci\u00f3n del usuario final <\/h3>\nEl programa de capacitaci\u00f3n para usuarios finales de su organizaci\u00f3n debe enfatizar la importancia de verificar cuidadosamente las solicitudes de inicio de sesi\u00f3n de MFA antes de aprobarlas. Si los usuarios encuentran una cantidad significativa de solicitudes de MFA, esto deber\u00eda generar sospechas y servir como una pista potencial de un ciberataque dirigido. En tales casos, es fundamental educar a los usuarios sobre las medidas inmediatas que deben tomar, que incluyen restablecer las credenciales de sus cuentas como medida de precauci\u00f3n y notificar a los equipos de seguridad. Al aprovechar una soluci\u00f3n de autoservicio para restablecer contrase\u00f1as como Specops uReset, los usuarios finales obtienen la capacidad de cambiar r\u00e1pidamente sus contrase\u00f1as, minimizando efectivamente la ventana de oportunidad para ataques de spam MFA.<\/p>\nLimitaci\u00f3n de velocidad <\/h3>\nLas organizaciones deben implementar mecanismos de limitaci\u00f3n de velocidad que restrinjan la cantidad de solicitudes de autenticaci\u00f3n permitidas desde una sola cuenta de usuario dentro de un per\u00edodo de tiempo espec\u00edfico. Al hacerlo, los scripts o bots automatizados no pueden abrumar a los usuarios con una cantidad excesiva de solicitudes.<\/p>\nMonitoreo y alerta <\/h3>\nImplemente sistemas de monitoreo s\u00f3lidos para detectar y alertar sobre patrones inusuales de solicitudes de MFA. Esto puede ayudar a identificar posibles ataques de spam en tiempo real y permitir que se tomen medidas inmediatas.<\/p>\nConclusiones clave <\/h2>\nPara protegerse eficazmente contra el spam de MFA, las organizaciones deben priorizar pr\u00e1cticas de seguridad s\u00f3lidas. Una t\u00e1ctica eficaz es reforzar las pol\u00edticas de contrase\u00f1as y bloquear el uso de contrase\u00f1as comprometidas. La implementaci\u00f3n de una soluci\u00f3n como la funci\u00f3n de protecci\u00f3n de contrase\u00f1a infringida de Specops Password Policy puede ayudar a las organizaciones a lograrlo. <\/p>\nPru\u00e9belo gratis aqu\u00ed y vea c\u00f3mo puede mejorar la seguridad de su contrase\u00f1a y proteger su organizaci\u00f3n contra ataques de spam MFA. <\/p>\n<\/p>\n\u00bfEncontr\u00f3 interesante este art\u00edculo? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Spam-y-fatiga-de-MFA-cuando-las-medidas-de-seguridad.jpg\"){kind=link}
En el panorama digital actual, los sistemas tradicionales de autenticaci\u00f3n basados \u200b\u200b\u00fanicamente en contrase\u00f1as han demostrado ser vulnerables a una amplia gama de ciberataques. Para salvaguardar los recursos comerciales cr\u00edticos, las organizaciones recurren cada vez m\u00e1s a la autenticaci\u00f3n multifactor (MFA) como una medida de seguridad m\u00e1s s\u00f3lida. MFA requiere que los usuarios proporcionen m\u00faltiples factores de autenticaci\u00f3n para verificar su identidad, lo que proporciona una capa adicional de protecci\u00f3n contra el acceso no autorizado.<\/p>\n
Sin embargo, los ciberdelincuentes son implacables en su b\u00fasqueda de formas de eludir los sistemas MFA. Uno de esos m\u00e9todos que est\u00e1 ganando terreno son los ataques de spam de MFA, tambi\u00e9n conocidos como fatiga de MFA o bombardeo de MFA. Este art\u00edculo profundiza en los ataques de spam de MFA, incluidas las mejores pr\u00e1cticas para mitigar esta creciente amenaza.<\/p>\n
\u00bfQu\u00e9 es el spam MFA?<\/h2>\n
El spam MFA se refiere al acto malicioso de inundar el correo electr\u00f3nico, el tel\u00e9fono u otros dispositivos registrados de un usuario objetivo con numerosas indicaciones o c\u00f3digos de confirmaci\u00f3n de MFA. El objetivo detr\u00e1s de esta t\u00e1ctica es abrumar al usuario con notificaciones, con la esperanza de que, sin darse cuenta, apruebe un inicio de sesi\u00f3n no autorizado. Para ejecutar este ataque, los piratas inform\u00e1ticos requieren las credenciales de la cuenta de la v\u00edctima objetivo (nombre de usuario y contrase\u00f1a) para iniciar el proceso de inicio de sesi\u00f3n y activar las notificaciones de MFA.<\/p>\n
T\u00e9cnicas de ataque de spam MFA<\/h2>\n
Existen varios m\u00e9todos empleados para ejecutar ataques de spam MFA, que incluyen:<\/p>\n
- \n
- Utilizar herramientas o scripts automatizados para inundar los dispositivos de las v\u00edctimas objetivo con un gran volumen de solicitudes de verificaci\u00f3n.<\/li>\n
- Emplear t\u00e1cticas de ingenier\u00eda social para enga\u00f1ar al usuario objetivo para que acepte una solicitud de verificaci\u00f3n. <\/li>\n
- Explotar la API del sistema MFA para enviar una cantidad sustancial de solicitudes de autenticaci\u00f3n falsas al usuario objetivo.<\/li>\n<\/ol>\n
Al emplear estas t\u00e9cnicas, los atacantes pretenden explotar cualquier aprobaci\u00f3n no intencionada y, en \u00faltima instancia, obtener acceso no autorizado a informaci\u00f3n o cuentas confidenciales.<\/p>\n
Ejemplos de ataques de spam MFA<\/h2>\n
Los piratas inform\u00e1ticos aprovechan cada vez m\u00e1s los ataques de spam de MFA para eludir los sistemas MFA. Aqu\u00ed hay dos ciberataques notables ejecutados con esta t\u00e9cnica:<\/p>\n
- \n
- Entre marzo y mayo de 2021, los piratas inform\u00e1ticos eludieron la La empresa Coinbase<\/a> Autenticaci\u00f3n multifactor por SMS, considerada una de las empresas de intercambio de criptomonedas m\u00e1s grandes del mundo, y rob\u00f3 criptomonedas a m\u00e1s de 6.000 clientes.<\/li>\n
- En 2022, los piratas inform\u00e1ticos inundaron Cripto.com<\/a> Clientes con una gran cantidad de notificaciones para retirar dinero de sus billeteras. Muchos clientes aprueban las solicitudes de transacciones fraudulentas sin darse cuenta, lo que genera una p\u00e9rdida de 4.836,26 ETH, 443,93 BTC y aproximadamente 66.200 d\u00f3lares estadounidenses en otras criptomonedas. <\/li>\n<\/ul>\n
C\u00f3mo mitigar los ataques de spam de MFA<\/h2>\n
Mitigar los ataques de spam de MFA requiere la implementaci\u00f3n de controles t\u00e9cnicos y la aplicaci\u00f3n de pol\u00edticas de seguridad relevantes de MFA. A continuaci\u00f3n se presentan algunas estrategias eficaces para prevenir este tipo de ataques. <\/p>\n
Aplique pol\u00edticas de contrase\u00f1as seguras y bloquee las contrase\u00f1as infractoras<\/h3>\n
Para que el ataque de spam MFA tenga \u00e9xito, el atacante primero debe obtener las credenciales de inicio de sesi\u00f3n del usuario objetivo. Los piratas inform\u00e1ticos emplean varios m\u00e9todos para adquirir estas credenciales, incluidos ataques de fuerza bruta, correos electr\u00f3nicos de phishing, relleno de credenciales y compra de credenciales robadas o violadas en la web oscura. <\/p>\n
La primera l\u00ednea de defensa contra el spam MFA es proteger las contrase\u00f1as de sus usuarios. La pol\u00edtica de contrase\u00f1as de Specops con protecci\u00f3n de contrase\u00f1a infringida ayuda a evitar que los usuarios utilicen credenciales comprometidas, reduciendo as\u00ed el riesgo de que los atacantes obtengan acceso no autorizado a sus cuentas.<\/p>\n
Capacitaci\u00f3n del usuario final <\/h3>\n
El programa de capacitaci\u00f3n para usuarios finales de su organizaci\u00f3n debe enfatizar la importancia de verificar cuidadosamente las solicitudes de inicio de sesi\u00f3n de MFA antes de aprobarlas. Si los usuarios encuentran una cantidad significativa de solicitudes de MFA, esto deber\u00eda generar sospechas y servir como una pista potencial de un ciberataque dirigido. En tales casos, es fundamental educar a los usuarios sobre las medidas inmediatas que deben tomar, que incluyen restablecer las credenciales de sus cuentas como medida de precauci\u00f3n y notificar a los equipos de seguridad. Al aprovechar una soluci\u00f3n de autoservicio para restablecer contrase\u00f1as como Specops uReset, los usuarios finales obtienen la capacidad de cambiar r\u00e1pidamente sus contrase\u00f1as, minimizando efectivamente la ventana de oportunidad para ataques de spam MFA.<\/p>\n
Limitaci\u00f3n de velocidad <\/h3>\n
Las organizaciones deben implementar mecanismos de limitaci\u00f3n de velocidad que restrinjan la cantidad de solicitudes de autenticaci\u00f3n permitidas desde una sola cuenta de usuario dentro de un per\u00edodo de tiempo espec\u00edfico. Al hacerlo, los scripts o bots automatizados no pueden abrumar a los usuarios con una cantidad excesiva de solicitudes.<\/p>\n
Monitoreo y alerta <\/h3>\n
Implemente sistemas de monitoreo s\u00f3lidos para detectar y alertar sobre patrones inusuales de solicitudes de MFA. Esto puede ayudar a identificar posibles ataques de spam en tiempo real y permitir que se tomen medidas inmediatas.<\/p>\n
Conclusiones clave <\/h2>\n
Para protegerse eficazmente contra el spam de MFA, las organizaciones deben priorizar pr\u00e1cticas de seguridad s\u00f3lidas. Una t\u00e1ctica eficaz es reforzar las pol\u00edticas de contrase\u00f1as y bloquear el uso de contrase\u00f1as comprometidas. La implementaci\u00f3n de una soluci\u00f3n como la funci\u00f3n de protecci\u00f3n de contrase\u00f1a infringida de Specops Password Policy puede ayudar a las organizaciones a lograrlo. <\/p>\n
Pru\u00e9belo gratis aqu\u00ed y vea c\u00f3mo puede mejorar la seguridad de su contrase\u00f1a y proteger su organizaci\u00f3n contra ataques de spam MFA. <\/p>\n
<\/p>\n
- En 2022, los piratas inform\u00e1ticos inundaron Cripto.com<\/a> Clientes con una gran cantidad de notificaciones para retirar dinero de sus billeteras. Muchos clientes aprueban las solicitudes de transacciones fraudulentas sin darse cuenta, lo que genera una p\u00e9rdida de 4.836,26 ETH, 443,93 BTC y aproximadamente 66.200 d\u00f3lares estadounidenses en otras criptomonedas. <\/li>\n<\/ul>\n
- Entre marzo y mayo de 2021, los piratas inform\u00e1ticos eludieron la La empresa Coinbase<\/a> Autenticaci\u00f3n multifactor por SMS, considerada una de las empresas de intercambio de criptomonedas m\u00e1s grandes del mundo, y rob\u00f3 criptomonedas a m\u00e1s de 6.000 clientes.<\/li>\n