En tres instituciones financieras de la región vimos la misma secuencia en un trimestre: credenciales robadas por phishing, y luego una lluvia de notificaciones push al teléfono de la víctima a las 2 de la madrugada. A la octava solicitud, el usuario aprobó, para que el teléfono lo dejara dormir.
La anatomía del ataque
La fatiga de MFA no es sofisticada y por eso funciona: el atacante ya tiene la contraseña, y el push tradicional solo pregunta «¿aprueba?». No dice desde dónde, ni a qué, ni por qué a esa hora. La víctima no está evaluando un riesgo: está intentando que el ruido pare.
SEÑAL EN TELEMETRÍA DE IDENTIDAD
ventana : 10 minutos
condición : >= 5 push denegados o expirados para el mismo
usuario + 1 aprobación posterior
enriquecido : geografía del origen vs. historial ·
hora local del usuario · reputación de la IP
acción : revocar sesión + forzar re-registro MFA + llamadaLa aprobación de las 2 a. m. no es consentimiento. Es rendición.
Qué lo corta de raíz
LAS TRES CAPAS, EN ORDEN DE IMPACTO
- Number matching en el autenticador: la víctima debe teclear el número que ve en pantalla, el atacante no lo tiene.
- Detección por ráfaga en la telemetría de identidad, con revocación automática de sesión al disparo.
- Concientización específica: «si no fue usted, denegar no basta, repórtelo», medida por tasa de reporte.
En los tres casos la detección por ráfaga llegó antes que el reporte del usuario. La contención, revocar la sesión y forzar re-registro del factor, tomó menos de quince minutos desde el disparo. Los tres clientes desplegaron number matching en las semanas siguientes; la técnica no volvió a aparecer en su telemetría.
