Ciberseguridad
Credenciales filtradas: qué hacer cuando aparece tu dominio
Un aviso de que contraseñas de tu empresa aparecen en una filtración no es para dejarlo en el cajón. Estos son los pasos, en orden, para actuar con cabeza.
4 min de lectura
El doble factor es una de las mejores protecciones que existen, pero no todas sus variantes son igual de robustas. Hay un ataque muy sencillo que lo demuestra: el atacante ya tiene la contraseña y lanza un intento de acceso tras otro. A la décima notificación, por cansancio o por despiste, alguien pulsa que sí.
En 30 segundos
- La fatiga de MFA consiste en bombardear a alguien con avisos hasta que aprueba uno.
- La comparación de números y el contexto en el aviso lo frenan.
- Las cuentas más sensibles merecen métodos resistentes al phishing.
- Un aviso que no has pedido significa que alguien tiene tu contraseña.
Anatomía de un ataque por cansancio
El doble factor, también llamado MFA o verificación en dos pasos, añade una segunda comprobación a la contraseña: algo que tienes, normalmente el móvil. Si alguien roba tu contraseña, no le basta para entrar.
Salvo que consiga que tú le abras la puerta. El ataque de fatiga funciona así: el atacante introduce la contraseña robada y el sistema envía un aviso a tu móvil preguntando si apruebas el inicio de sesión. Lo rechazas. Vuelve a intentarlo. Otro aviso. Y otro. El móvil no para de vibrar.
Imagina que son las once de la noche y estás en el sofá. No entiendes qué pasa, piensas que es un fallo del sistema y solo quieres que pare. Pulsar «Aprobar» parece la forma más rápida de conseguirlo. Y con ese toque, el atacante está dentro.
El punto débil: un toque que no obliga a pensar
El problema no es el doble factor en sí, sino la forma de aprobación más simple. Un aviso de un solo toque, con «Aprobar» y «Denegar», no le pide a la persona ninguna comprobación. No indica desde dónde se intenta entrar ni a qué aplicación. Convierte una decisión de seguridad en un reflejo.
Un sí que no exige pensar es un sí que cualquiera puede arrancar.
Tres ajustes que cambian las reglas
Comparación de números
La pantalla de inicio de sesión muestra un número y hay que escribirlo en el móvil para aprobar. Si no estás delante del ordenador donde se está entrando, no puedes saber qué número es, así que no puedes aprobar aunque quieras. Microsoft Authenticator lo tiene activado por defecto desde hace tiempo; conviene comprobar que nadie lo ha desactivado en tu configuración.
Contexto en la aprobación
La aplicación puede mostrar la ubicación aproximada desde la que se intenta entrar y la aplicación que pide acceso. Un intento desde otro país, o hacia un servicio que no usas, canta a primera vista. Le da a la persona la información que necesita para decir que no con seguridad.
Métodos resistentes al phishing
Para los perfiles con más acceso, hay métodos que no dependen de que nadie interprete bien un aviso: llaves de seguridad físicas, Windows Hello for Business (que usa el rostro, la huella o un PIN ligado al propio equipo) o llaves de acceso (passkeys). Con ellos, la verificación está atada al dispositivo y al sitio legítimo, y no hay un botón que el atacante pueda conseguir que pulses.
Ojo con esto
Revisa también cómo se registran los métodos de doble factor. Si cualquiera con la contraseña puede añadir un móvil nuevo a su cuenta, el atacante podría registrar el suyo. Limitar ese registro a la red de la oficina o exigir una verificación previa cierra esa puerta.
Qué hacer cuando suena un aviso que nadie ha pedido
Este es el mensaje más importante para la plantilla, y el que más a menudo falta: un aviso de doble factor que no has solicitado no es un fallo del sistema. Significa que alguien tiene tu contraseña y está intentando entrar.
La respuesta debería ser automática y sencilla:
- Rechazar el aviso, siempre.
- Comunicarlo a TI o a quien corresponda por una vía conocida y fácil.
- Cambiar la contraseña ese mismo día.
Si la gente sabe esto, el ataque de fatiga pierde casi toda su fuerza. Y si no lo sabe, ninguna configuración lo compensa del todo.
Tampoco ayuda castigar a quien avisa de que aprobó por error. Si alguien pulsó «Aprobar» y lo cuenta al momento, ha hecho exactamente lo correcto: cuanto antes se sepa, antes se cierra la sesión del atacante. Una cultura en la que admitir el fallo cuesta caro hace que la gente calle, y el silencio es lo que más tiempo regala a quien está dentro.
Un plan de trabajo en orden
No hace falta cambiarlo todo a la vez. Un orden razonable:
- Revisa qué métodos están permitidos en tu Microsoft 365 y elimina los más débiles, como el SMS y la llamada de voz, donde sea posible.
- Confirma que la comparación de números y el contexto están activos en Microsoft Authenticator.
- Prioriza las cuentas críticas: administración de sistemas y personas que manejan pagos o datos especialmente sensibles. Para ellas, métodos resistentes al phishing.
- Explica a todo el equipo qué hacer ante un aviso inesperado.
En OLATIC revisamos los métodos de doble factor activos en tu organización, ajustamos la configuración de Microsoft Authenticator y del registro de métodos, y llevamos llaves o Windows Hello a las cuentas que más lo necesitan. Y dedicamos tiempo a lo que más se olvida: explicar a cada equipo, con calma, qué hacer cuando el móvil vibra sin motivo.