Reconocer y bloquear el fraude MFA en Microsoft 365

¿Peticiones MFA sospechosas? El usuario como primera línea de defensa

La autenticación multifactor (MFA) es una importante capa de seguridad, pero ni siquiera este método es infalible. Los ciberdelincuentes se aprovechan cada vez más de las credenciales de inicio de sesión robadas, abrumando a los usuarios con solicitudes MFA inesperadas. Esta táctica también se conoce como “fatiga MFA”.

Haz la comprobación informática en ALTA-ICT – Comprueba tu seguridad en los hechos

¿Qué es la fatiga del AMF?

En un ataque de fatiga MFA, un usuario recibe varias solicitudes de autenticación MFA, a menudo a altas horas de la noche o fuera del horario laboral. La esperanza del atacante: que el usuario, accidentalmente o por frustración, apruebe una de todas formas. Esto da al atacante acceso completo.

¿Qué ha cambiado?

Microsoft ha añadido ahora un control adicional: los usuarios pueden notificar activamente las solicitudes sospechosas de MFA a través de la aplicación Microsoft Authenticator o mediante una llamada de voz. Una vez realizada dicha notificación, ocurre lo siguiente:

El estado del usuario se establece automáticamente en “Alto riesgo”.
Las políticas de Acceso Condicional pueden bloquear el acceso directamente.
Opcionalmente, el usuario puede utilizar el Autoservicio de Restablecimiento de Contraseña (SSPR) para restablecer él mismo la cuenta.

¿Por qué es importante?

Esta función convierte a los usuarios en parte activa del proceso de seguridad:

Evita accesos no deseados en caso de abuso de MFA
Detecta más rápidamente los intentos de robo
Responde automáticamente con políticas basadas en el riesgo
Admite la recuperación sin intervención informática

Ejemplo práctico:

Un empleado recibe varias solicitudes MFA por la noche sin intentar iniciar sesión. Lo marca como sospechoso en la aplicación. Microsoft 365 marca inmediatamente la cuenta como de riesgo, bloquea el acceso y ofrece al empleado la opción de recuperar la contraseña.

¿Qué puedes hacer como organización?

Activa esta función en Protección de identidad de Microsoft 365
Comprueba las reglas de Acceso Condicional para el bloqueo basado en el riesgo
Formar a los usuarios para que reconozcan y notifiquen las alertas sospechosas
Poner en marcha el SSPR para la recuperación independiente