¿Qué es la «fatiga de MFA» (bombardeo por empuje)?

Tu móvil vibra a las 23:30 con una notificación de autenticación multifactorial (MFA). La ignoras, pero las alertas siguen llegando: docenas de notificaciones idénticas que no dejan de sonar sin descanso durante más de una hora. No se trata de un fallo técnico, sino de un ataque activo de «fatiga de MFA», también conocido como «push bombing» o «MFA prompt bombing».

Precisamente este vulnerabilismo psicológico permitió a un atacante vinculado al grupo Lapsus$ infiltrarse en Uber en septiembre de 2022. Tras adquirir en la dark web la contraseña robada de un colaborador, el actor malicioso inundó el dispositivo de este con notificaciones push constantes. Agotado, molesto y pensando que se trataba de un error del sistema, el colaborador acabó pulsando «Aprobar». En cuestión de minutos, el hacker obtuvo acceso completo a los canales internos de Slack de Uber, a la VPN y a los repositorios de código fuente.

Para los equipos de seguridad, la lección es clara. La autenticación multifactorial (MFA) es un control de seguridad fundamental, pero las solicitudes estándar de «Aprobar/Rechazar» solo son tan seguras como el criterio de la persona agotada que las aprueba. Comprender esta cadena de ataque es el primer paso para construir una defensa verdaderamente resistente.

¿Qué es la «fatiga MFA» o el «push bombing»?

La «fatiga de la autenticación multifactorial» (MFA) es una técnica de ingeniería social en la que un atacante, tras haber obtenido credenciales corporativas sustraídas, inunda el dispositivo de la víctima con repetidas solicitudes push de autenticación multifactorial. El objetivo es obligar a la víctima a aprobar una sesión fraudulenta agotándola, confundiéndola o distrayéndola. Finalmente, la víctima aprueba la solicitud de inicio de sesión simplemente para que dejen de aparecer las notificaciones o porque cree que se trata de un error técnico del sistema.

La comunidad de seguridad clasifica este comportamiento de forma sistemática. El marco MITRE ATT&CK clasifica oficialmente esta táctica bajo la técnica T1621 (Generación de solicitudes de autenticación multifactorial). No aprovecha ningún fallo de software en tu proveedor de gestión de identidades. Más bien, considera al usuario humano como el último obstáculo que hay que sortear mediante el volumen y la persistencia.

Es importante diferenciar la terminología de la amenaza en sí. Independientemente de si tu equipo de operaciones de seguridad se refiere a ello como «push bombing», «prompt spamming» o «fatiga de la autenticación multifactorial», el mecanismo funcional sigue siendo el mismo. El ataque consiste en una técnica para eludir la seguridad tras el robo de credenciales. La arquitectura de seguridad subyacente funciona exactamente según lo previsto, pero se manipula el factor humano para que esa seguridad resulte irrelevante.

¿Cómo aprovechan los hackers la «fatiga de la autenticación multifactorial» para obtener acceso?

Un ataque de agotamiento de MFA sigue un ciclo de vida estructurado y multifásico. Nunca se produce de forma aislada. Los atacantes deben sentar las bases antes de poder empezar a enviar solicitudes de autenticación. A continuación se describe la metodología típica paso a paso observada en incidentes reales.

Paso 1. Robo de credenciales

Un atacante no puede iniciar una solicitud de autenticación sin conocer primero las credenciales principales del objetivo. Esta fase es el paso cero. Los actores maliciosos obtienen estas credenciales mediante correos electrónicos de phishing, malware de robo de información o ataques de «credential stuffing». En muchos casos, los atacantes simplemente compran paquetes de datos de inicio de sesión activos directamente en mercados de la dark web. Estas credenciales de acceso corporativo validadas pueden venderse por tan solo entre 10 y 50 dólares por conjunto, según estudios de inteligencia sobre amenazas de la dark web.

Paso 2. La avalancha de notificaciones

Una vez que el atacante obtiene el nombre de usuario y la contraseña válidos, los introduce en el portal de inicio de sesión de la organización. Esta acción activa automáticamente una notificación push legítima en la aplicación de autenticación registrada del empleado. El atacante repite esta acción de forma sistemática. A menudo genera docenas de solicitudes en rápida sucesión. Estas avalanchas suelen programarse para coincidir con momentos de menor atención cognitiva, como a altas horas de la noche o durante los ajetreados desplazamientos matutinos al trabajo.

Paso 3. La herramienta de ingeniería social

Para aumentar sus posibilidades de éxito, los grupos más sofisticados combinan el aluvión digital con la comunicación directa. Un atacante puede iniciar una llamada telefónica o enviar un SMS en un ataque de suplantación de identidad dirigido, haciéndose pasar por un representante del servicio de asistencia informática. Informará al empleado de que las notificaciones forman parte de una actualización de seguridad o una comprobación del sistema en curso. A continuación, el atacante indica a la víctima que apruebe la solicitud para resolver el problema. Esta técnica, conocida como «vishing», añade una poderosa capa de autoridad al acoso digital.

Paso 4. Aprobación y cambio de rumbo

En el momento en que la víctima aprueba una sola notificación, la fase de inicio de sesión se completa con éxito. La sesión web del atacante queda validada al instante. Una vez establecido el acceso inicial, puede eludir los controles locales y desplazarse lateralmente por la red corporativa. Una vez dentro, se dedica a escalar privilegios, sustraer archivos confidenciales o desplegar cargas útiles de ransomware devastadoras.

¿Por qué la «fatiga de la autenticación multifactorial» es un método de ataque eficaz?

La razón principal por la que este ataque sigue teniendo tanto éxito es que se trata de una forma de ingeniería social: se basa en la psicología humana, no en vulnerabilidades de software. Los sistemas tradicionales de ciberseguridad consideran que la toma de decisiones humanas es un proceso racional y coherente. Sin embargo, en la práctica, el rendimiento cognitivo se deteriora rápidamente en situaciones de estrés, alta carga cognitiva y fatiga.

En primer lugar, los profesionales de hoy en día sufren una profunda «ceguera ante las notificaciones». El empleado de oficina medio recibe cada día docenas de notificaciones push en sus dispositivos personales y profesionales. Este estímulo constante entrena a nuestro cerebro para que pulse sobre las ventanas emergentes sin apenas reflexión analítica. Con el tiempo, la acción física de pulsar «Aprobar» pasa de ser una decisión consciente en materia de seguridad a un reflejo muscular automatizado.

En segundo lugar, los atacantes se aprovechan del momento. Provocar una avalancha de notificaciones a las 2:00 de la madrugada obliga a la víctima a elegir entre el pensamiento crítico y el sueño inmediato. Cuando un teléfono vibra sin cesar junto a la cama de un empleado, la forma más rápida de volver a descansar es seguir las instrucciones del dispositivo. El análisis del comportamiento demuestra que las defensas humanas se debilitan bajo tal presión.

Los datos de telemetría confirman estas observaciones fisiológicas. Según los datos de telemetría publicados por Microsoft, sus motores automatizados de detección de amenazas registraron más de 382 000 intentos de «fatiga de la autenticación multifactorial» (MFA) en un único periodo de 12 meses. Sorprendentemente, sus datos revelaron que aproximadamente el 1 % de todos los usuarios afectados aceptaron la primera notificación push inesperada que recibieron en su pantalla.

Incidentes reales: cómo la «fatiga de la autenticación multifactorial» provocó daños sin precedentes

No hace falta especular sobre el daño que pueden causar estos ataques. En los últimos años, algunas de las marcas más conocidas del mundo se han visto abocadas al colapso porque un solo empleado se cansó de que su móvil no dejara de vibrar.

Uber (septiembre de 2022)

En este incidente, un atacante adquirió las credenciales de un contratista en la dark web después de que estas fueran sustraídas mediante un malware de robo de información. El atacante intentó iniciar sesión en repetidas ocasiones, lo que generó una avalancha de notificaciones push que se prolongó durante una hora. Para salir del punto muerto, el hacker envió un mensaje al contratista a través de WhatsApp, haciéndose pasar por un administrador de TI de Uber. El contratista acabó aprobando la solicitud, lo que permitió al grupo de cibercriminales Lapsus$ acceder a la red interna.

Cisco (2022)

Los autores del ataque a Cisco utilizaron una combinación muy estructurada de vishing y envío masivo de mensajes de aviso. En primer lugar, extrajeron las credenciales de inicio de sesión principales de los perfiles del navegador de un empleado. A continuación, iniciaron una serie de mensajes de aviso. Mientras los mensajes estaban activos, los atacantes realizaron llamadas de voz haciéndose pasar por servicios de asistencia de confianza, convenciendo al empleado para que aprobara la conexión. Esto permitió a los autores establecer una sesión VPN autenticada.

Lapsus$ contra los gigantes tecnológicos (2022)

Durante una campaña de mayor envergadura, el grupo Lapsus$ convirtió esta técnica de ingeniería social en un procedimiento operativo estándar. Utilizaron mecanismos similares de «push-bombing» para infiltrarse en Microsoft, Okta, Nvidia y Samsung. Al combinar la generación de mensajes técnicos con una comunicación directa y agresiva, haciéndose pasar por los departamentos de TI, lograron eludir los sistemas de autenticación multifactorial (MFA) perimetrales de múltiples empresas en cuestión de meses.

MGM Resorts y Caesars Entertainment (2023)

A finales de 2023, el grupo de ciberdelincuentes Scattered Spider puso de manifiesto una peligrosa evolución de este ataque. Los hackers iniciaron una campaña dirigida llevando a cabo un reconocimiento en LinkedIn y, a continuación, llamaron por teléfono al servicio de asistencia informática de la empresa. Consiguieron suplantar la identidad de empleados de alto nivel y convencieron al personal del servicio de asistencia para que restableciera los perfiles de autenticación multifactorial (MFA) de las cuentas con privilegios. A continuación, utilizaron el «push bombing» para hacerse con el acceso autenticado. Mientras que, según se ha informado ampliamente en medios como Reuters y la BBC, Caesars pagó un rescate de 15 millones de dólares, MGM optó por reconstruir el sistema, lo que le supuso enormes pérdidas operativas y financieras.

Marks & Spencer (abril de 2025)

A principios de 2025 se utilizó exactamente la misma estrategia contra el gigante minorista Marks & Spencer. Los miembros del grupo de ciberamenazas Scattered Spider se hicieron con las credenciales principales, engañaron al personal del servicio de asistencia técnica y llevaron a cabo una agresiva campaña de «fatiga de la autenticación multifactorial» (MFA). El acceso obtenido se utilizó para desplegar el ransomware DragonForce. El ataque interrumpió las operaciones en unas 1.049 tiendas, lo que contribuyó a una caída inmediata del 7 % en el precio de las acciones de la empresa, según la cobertura de la BBC y Reuters de la época.

La fatiga en el MFA en cifras

Durante mucho tiempo, muchos profesionales de la seguridad consideraban el envío masivo de spam como un caso aislado y poco frecuente. Sin embargo, los datos sobre incidentes del sector correspondientes a los años 2025 y 2026 revelan que se ha convertido en una herramienta habitual de la ciberdelincuencia:

• Según el Informe de Investigaciones sobre Fugas de Datos (DBIR) de Verizon de 2025, los ataques de «prompt bombing» se produjeron en aproximadamente el 14 % de todos los incidentes de ingeniería social analizados a nivel mundial.
• El DBIR de 2025 señalaba que los ataques de «bombardeo» inmediato tuvieron éxito en más del 20 % de los ataques de ingeniería social dirigidos específicamente contra organizaciones del sector público.
• Si nos centramos específicamente en los ataques dirigidos a entornos de Microsoft 365, el DBIR reveló que las interrupciones de la autenticación multifactorial (MFA) (incluidos los ataques de fatiga) representaron el 22 % de todos los intentos exitosos de eludir la MFA. El robo de tokens, una técnica relacionada, supuso el 31 % de las técnicas de elusión.
• Varios informes sobre la respuesta a incidentes de 2025 revelaron que aproximadamente el 79 % de las víctimas de ataques de suplantación de correo electrónico empresarial (BEC) investigadas ya tenían habilitada la autenticación multifactorial (MFA) en sus sistemas, lo que demostró que es posible eludir las configuraciones básicas de MFA.
• A pesar del evidente riesgo, una encuesta a empresas patrocinada por Cisco Duo reveló que solo el 19 % de las organizaciones ha implantado plenamente métodos de autenticación resistentes al phishing, como las claves FIDO2, entre toda su plantilla.

¿Qué métodos MFA son los más (y los menos) vulnerables?

No todos los métodos de autenticación multifactorial son iguales. Si la política de seguridad de tu empresa trata de la misma manera todas las formas de verificación secundaria, tienes un punto ciego crítico. A continuación se ofrece un análisis práctico del rendimiento de los distintos protocolos de autenticación frente a los ataques de «push bombing».

Cómo protegerse contra la «fatiga de la autenticación multifactorial» y los ataques de «push bombing»

Para hacer frente a los ataques de «push bombing» no es necesario que renuncies a tu infraestructura de identidad. Sin embargo, sí que es necesario que establezcas medidas de protección inteligentes. Mediante la implementación de una política de defensa por capas, puedes neutralizar de forma sistemática los vectores técnicos y psicológicos de este ataque.

1. Pasar a la autenticación multifactorial (MFA) basada en la coincidencia de números o resistente al phishing

Si no puedes prescindir de inmediato de las notificaciones push estándar de las aplicaciones móviles, activa la coincidencia de números. Esta función es compatible de forma nativa con Microsoft Entra ID, Okta y Cisco Duo. Cuando está activada, el usuario no puede limitarse a pulsar «Aprobar». Debe fijarse en una secuencia de dígitos que se muestra en la pantalla de inicio de sesión y escribirlos en su aplicación de autenticación. Este sencillo obstáculo elimina por completo los clics ciegos y reflexivos. Para tus cuentas con mayores privilegios, da prioridad a la migración a claves de seguridad FIDO2/WebAuthn o claves de acceso, que eliminan por completo el paso de «tocar para aprobar».

2. Límite de frecuencia y límite máximo de notificaciones push

No permitas que tus servidores de autenticación procesen un sinfín de solicitudes. Configura las políticas de tu proveedor de identidad (IdP) para bloquear cuentas o establecer períodos de espera temporales tras tres a cinco notificaciones push rechazadas o ignoradas. Si un atacante no puede generar más que unas pocas solicitudes antes de que se bloquee el perfil, el vector de fatiga psicológica desaparece.

3. Refuerza tu servicio de asistencia informática

Las espectaculares filtraciones sufridas por MGM y Caesars no se debieron a fallos de software, sino a vulneraciones de la seguridad del servicio de asistencia técnica. El personal de soporte debe aplicar protocolos rigurosos de verificación de identidad antes de restablecer la configuración de autenticación multifactorial (MFA) de un empleado. Implemente llamadas de confirmación obligatorias a números de teléfono preregistrados, exija una aprobación secundaria por parte de los responsables o verifique las identidades en persona antes de modificar los ajustes de seguridad de una cuenta con privilegios.

4. Aviso sobre denegaciones consecutivas

Considera las notificaciones de autenticación denegada como una señal grave, no como ruido de fondo. Si un empleado pulsa «Denegar» varias veces en un breve intervalo de tiempo, tu centro de operaciones de seguridad (SOC) debería recibir una alerta automática. Esta acción indica que un atacante ya ha eludido la capa principal de contraseña y está intentando activamente romper la segunda línea de defensa.

5. Detener el ataque en su verdadero punto de partida: el robo de credenciales

Seamos claros: el «push bombing» no puede producirse a menos que un atacante ya haya robado tu nombre de usuario y contraseña. Aunque los protocolos de correo electrónico no controlan directamente la infraestructura de la autenticación multifactorial (MFA), proteger tu capa de comunicación evita que se produzca la intrusión inicial. La gran mayoría de las credenciales corporativas se roban a través de correos electrónicos de phishing que se hacen pasar por plataformas internas o socios de confianza, a menudo generados mediante kits de suplantación de correo electrónico «llave en mano » que se venden en foros clandestinos.

Es fundamental aplicar protocolos de seguridad como DMARC (Domain-based Message Authentication, Reporting, and Conformance) con una política de p=reject. La implementación de DMARC junto con SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail) impide que los atacantes suplanten los dominios de su empresa para obtener las contraseñas de los empleados. Al bloquear los correos electrónicos de suplantación de identidad, se reducen considerablemente los principales vectores utilizados en el «Paso Cero» del ciclo de vida del ataque.

6. Formar a los empleados en la respuesta «Rechazar y notificar»

No limites tu formación en ciberseguridad a aburridas presentaciones genéricas. Realiza simulacros de situaciones en las que se produzca «fatiga de la autenticación multifactorial» (MFA). Explica a los empleados que si su teléfono vibra con notificaciones inesperadas, es señal de que se ha producido una intrusión, no un error del sistema. Crea un mecanismo sencillo y sin complicaciones para que los empleados puedan «rechazar y notificar» actividades sospechosas directamente a los equipos de seguridad con un solo toque.

La fatiga de MFA frente a otras técnicas de elusión de MFA

Aunque el envío masivo de mensajes de spam es increíblemente eficaz, no es más que una herramienta más del arsenal de los ciberdelincuentes actuales. Para proteger a tu organización, debes comprender en qué medida esta amenaza se diferencia de otras técnicas habituales para eludir la autenticación.

• Phishing de tipo «Adversary-in-the-Middle» (AiTM): A diferencia de la «fatiga de la autenticación multifactorial» (MFA), que se basa en la colaboración del usuario, los ataques AiTM implementan un servidor proxy entre la víctima y el portal de inicio de sesión legítimo. El proxy captura tanto las credenciales principales del usuario como la cookie de sesión validada en tiempo real, eludiendo por completo la autenticación multifactorial sin necesidad de enviar mensajes no deseados al dispositivo de la víctima.
• Suplantación de SIM: En este ataque, el autor del ataque utiliza técnicas de ingeniería social para que un operador de telefonía móvil transfiera el número de teléfono de la víctima a una tarjeta SIM fraudulenta. Esto le permite interceptar los códigos de un solo uso enviados por SMS, centrándose en las redes móviles en lugar de aprovechar las notificaciones push.
• Robo de tokens de sesión: Esta técnica utiliza malware especializado en el robo de información o extensiones de navegador comprometidas para extraer tokens de sesión activos directamente de la memoria local. Esto permite al atacante secuestrar una sesión corporativa activa, eludiendo por completo el portal de inicio de sesión y las fases de verificación secundarias.

Es importante comprender que los autores de las amenazas no se limitan a un único método. Los grupos de ataque avanzados suelen combinar estas técnicas. Por ejemplo, un grupo podría utilizar el phishing para obtener credenciales, intentar eludir el AiTM y, si los intentos iniciales fracasan, recurrir al vishing dirigido al servicio de asistencia técnica y al envío masivo de mensajes de spam.

Cómo superar el cansancio ante la autenticación de dos factores (MFA): el camino a seguir

Seamos realistas: la autenticación multifactorial basada en notificaciones push se diseñó para ser rápida y fluida, pero el «cansancio de la autenticación multifactorial» y el «bombardeo de notificaciones push» demuestran que esa facilidad de uso se ha convertido en su mayor vulnerabilidad. Las filtraciones de gran repercusión mediática sufridas por Uber, Cisco, MGM y Marks & Spencer demuestran que confiar en que un usuario humano tome la decisión correcta durante un ataque en curso supone un riesgo de seguridad importante.

Para garantizar la seguridad de tu organización, debes ir más allá de las configuraciones básicas de «Aprobar/Rechazar». La implementación de la verificación de números y la limitación de frecuencia en las notificaciones push es un primer paso fundamental, pero proteger tus puntos de entrada es igualmente vital. Al combinar métodos de autenticación resistentes al phishing con rigurosos protocolos de seguridad de dominios, podrás proteger a tus usuarios en cada etapa del ciclo de la amenaza.

¿Estás listo para proteger tu dominio y detener el robo de credenciales de raíz? Empieza hoy mismo por evaluar tu configuración de autenticación de correo electrónico. Consulta nuestras guías sobre el robo de credenciales para comprender cómo los hackers se hacen con tus contraseñas y descubre cómo PowerDMARC Analyzer puede mantener los correos electrónicos fraudulentos de phishing fuera de las bandejas de entrada de tus empleados.

Preguntas frecuentes

¿Qué es la «fatiga de la autenticación de dos factores» en términos sencillos?

La «fatiga de la autenticación multifactorial» es un ciberataque en el que un pirata informático que ya conoce tu contraseña genera repetidamente solicitudes de autenticación en tu teléfono. Inundan tu dispositivo con notificaciones de «Aprobar», con la esperanza de que, al final, acabes pulsando en ellas por pura molestia, confusión o para que dejen de sonar.

¿La «fatiga de MFA» es lo mismo que el «bombardeo de MFA» o el «bombardeo de empuje»?

Sí, estos términos describen exactamente la misma técnica de ataque. Independientemente de que los profesionales de la seguridad la denominen «fatiga de la autenticación multifactorial», «spam de solicitudes», «bombardeo de autenticación multifactorial» o «bombardeo de notificaciones», la metodología subyacente sigue siendo la misma. Los atacantes inundan el dispositivo de la víctima con repetidas solicitudes de autenticación hasta que esta cede.

¿Cómo aprovechan los hackers el cansancio ante la autenticación multifactorial (MFA) para obtener acceso?

En primer lugar, los hackers roban tus credenciales mediante phishing, malware de robo de información o mercados de la dark web. A continuación, intentan iniciar sesión en tu cuenta una y otra vez, lo que provoca un sinfín de notificaciones push en tu teléfono. En cuanto pulsas «Aprobar» por agotamiento, el atacante queda autenticado al instante en tu red corporativa.

¿Por qué la «fatiga de la autenticación de dos factores» es un método de ataque eficaz?

Es muy eficaz porque se aprovecha de la psicología humana en lugar de los fallos técnicos del software. Aprovecha condiciones cognitivas habituales, como la fatiga por las notificaciones, la distracción y el cansancio nocturno, y transforma un control de seguridad estándar en un juego de persistencia en el que el atacante solo tiene que ganar una vez.

¿Pueden DMARC o la autenticación del correo electrónico prevenir los ataques de «fatiga de la autenticación multifactorial»?

DMARC no puede detener directamente las notificaciones push una vez que un atacante ha obtenido tus credenciales. Sin embargo, bloquea los correos electrónicos de phishing falsificados que los atacantes utilizan para obtener esas credenciales en primer lugar. De este modo, se elimina sistemáticamente el «Paso Cero», fundamental para que se produzca el ataque.

¿Cuál es la defensa más eficaz contra los bombardeos de empuje?

La defensa más sólida sin lugar a dudas es pasar a una autenticación multifactorial sin contraseñas y resistente al phishing, como los tokens de seguridad de hardware FIDO2 o las claves de acceso de plataforma. Estas tecnologías vinculan criptográficamente los inicios de sesión a la sesión de tu navegador, lo que neutraliza por completo los ataques de «push bombing» remotos y el robo de credenciales.

• Acerca de
• Últimas publicaciones

Ahona Rudra

Experto en seguridad de dominios y correo electrónico en PowerDMARC

Ahona es la Directora de Marketing de PowerDMARC, con más de 5 años de experiencia escribiendo sobre temas de ciberseguridad, especializada en seguridad de dominios y correo electrónico. Ahona tiene un posgrado en Periodismo y Comunicaciones, consolidando su carrera en el sector de la seguridad desde 2019.

Últimas publicaciones de Ahona Rudra (ver todas)

• La mayoría de las entidades financieras cuentan con DMARC. Casi ninguna está protegida. - 22 de julio de 2026
• ¿Qué es la «fatiga de MFA» (push bombing)? - 21 de julio de 2026
• Caso práctico de DMARC MSP: Cómo Adoptive Technologies ofrece seguridad centralizada del correo electrónico a sus clientes con PowerDMARC - 17 de julio de 2026