l doble factor de autenticación fue durante años uno de los controles más recomendados en ciberseguridad. Complicaba la vida a los atacantes y protegía cuentas incluso cuando la contraseña había sido comprometida. Sin embargo, los ciberdelincuentes han encontrado una forma de sortearlo que no requiere romper nada técnicamente. El MFA fatigue, o fatiga de MFA, se ha convertido en una de las técnicas de ingeniería social más efectivas de los últimos años. Y su eficacia no viene de la sofisticación del ataque, sino de la psicología humana.

Qué es el MFA fatigue y por qué está creciendo

El MFA fatigue consiste en bombardear a un usuario con notificaciones push de autenticación hasta que, por agotamiento o confusión, aprueba una de ellas. El atacante ya tiene las credenciales robadas obtenidas por phishing o filtración y solo necesita que la víctima pulse «aceptar» en su teléfono. La técnica ha proliferado porque el uso de aplicaciones de autenticación push se ha generalizado. Cuanto más extendida está una tecnología, más rentable se vuelve atacarla. Los equipos de seguridad han detectado un aumento notable de incidentes con este patrón en los últimos 18 meses.

Lo que distingue al MFA fatigue de otros ataques es que no explota un fallo técnico. Explota la rutina del usuario. Una persona que recibe notificaciones de aprobación a diario desarrolla el hábito de aceptarlas casi sin leerlas. Los atacantes lo saben, y diseñan sus campañas precisamente para aprovechar esa inercia.

Cómo funciona un ataque de MFA fatigue paso a paso

El proceso es más sencillo de lo que parece. Primero, el atacante obtiene las credenciales de la víctima mediante técnicas de phishing e ingeniería social o a través de bases de datos filtradas. Después, intenta iniciar sesión repetidamente desde su equipo. Cada intento genera una notificación push en el dispositivo del empleado. Si el usuario ignora las primeras, el atacante puede insistir durante horas o incluso días. En algunos casos, envían un mensaje haciéndose pasar por el soporte técnico para convencer a la víctima de que apruebe la solicitud. El ataque termina cuando el empleado, cansado, pulsa «sí» sin verificar nada.

Por qué el doble factor ya no es suficiente por sí solo

Esto no significa que haya que abandonar el MFA. Significa que no puede ser el único control de seguridad sobre las cuentas. El problema es la sobreconfianza que genera en los equipos: se asume que, si hay MFA, la cuenta está protegida. Pero un sistema de autenticación push puede ser tan vulnerable como uno sin segundo factor si el usuario está condicionado a aprobar notificaciones sin verificarlas. INCIBE-CERT, referencia nacional en ciberseguridad, señala que ningún control único es suficiente por sí solo. La seguridad eficaz siempre funciona en capas.

El doble factor sigue siendo una capa necesaria. Pero conviene tratarlo como lo que es: una barrera más, no una garantía absoluta. La combinación de MFA con otras medidas de detección y respuesta es lo que realmente reduce el riesgo de compromiso.

Cinco señales de que tu empresa podría ser vulnerable

Antes de que un atacante lo descubra, conviene hacer esta revisión interna. Estas son las señales que indican una exposición real al MFA fatigue:

1. Los empleados utilizan autenticación push sin haber recibido formación sobre cómo distinguir solicitudes legítimas de falsas.
2. No existe ningún control sobre el número de intentos fallidos de autenticación por cuenta en un período corto.
3. El departamento de IT no monitoriza patrones de notificaciones rechazadas o aprobadas fuera del horario laboral habitual.
4. No se aplica contexto adicional al acceso: ubicación geográfica, dispositivo conocido o comportamiento habitual del usuario.
5. Los usuarios no tienen un canal claro ni un protocolo definido para reportar notificaciones sospechosas de MFA.

Si tu empresa cumple dos o más de estos puntos, es el momento de revisar la configuración de autenticación con el equipo técnico.

Más allá del MFA: las capas de protección que marcan la diferencia

La respuesta al MFA fatigue pasa por combinar varios enfoques. El más efectivo a corto plazo es migrar de notificaciones push a métodos más resistentes al phishing: claves FIDO2, passkeys o aplicaciones con coincidencia de códigos recogidas en la guía de autenticación NIST SP 800-63B como el estándar de referencia internacional. Junto a esto, implementar acceso condicional que valide el contexto del inicio de sesión antes de permitirlo reduce significativamente el margen de error humano. El objetivo no es depender del empleado para detener el ataque, sino que el sistema lo haga antes de que llegue a ese punto.

Cómo preparar a tu equipo ante este tipo de ataques

La tecnología no resuelve sola el problema si el equipo no sabe reconocer la señal de alerta. La formación en este caso es muy concreta: los empleados deben saber que nunca deberían aprobar una notificación de MFA que no han iniciado ellos mismos. Este mensaje, aunque simple, tiene un impacto directo en la reducción de incidentes. También es fundamental establecer un protocolo de reporte rápido: si alguien recibe múltiples notificaciones no solicitadas, debe comunicarlo de inmediato al equipo de IT. La velocidad de respuesta puede ser la diferencia entre un intento fallido y una brecha real.

La formación no necesita ser larga ni técnica. Bastan sesiones breves y periódicas que refuercen un mensaje claro: una notificación que no has pedido es una señal de alerta, no un error a ignorar. Ese hábito, una vez instalado, funciona incluso cuando el equipo de IT no está disponible para responder de inmediato.

El MFA fatigue es un recordatorio de que los atacantes no siempre buscan vulnerabilidades técnicas. A veces, el camino más corto pasa por el agotamiento del usuario. Reforzar la autenticación con métodos más robustos y una cultura de ciberseguridad activa en el equipo convierte ese camino en un callejón sin salida. Contar con un partner tecnológico que supervise estos controles marca la diferencia entre detectar el problema y descubrirlo tarde.