El push bombing es un tipo de ataque de fatiga MFA que se dirige contra usuarios mediante múltiples intentos de inicio de sesión en el portal SSO o aplicaciones corporativas expuestas públicamente. Este método se utiliza comúnmente con contraseñas robadas o filtradas, permitiendo al atacante acceder a recursos si el usuario acepta el segundo factor enviado a su teléfono o correo.
El push bombing funciona aprovechando la repetición de autenticaciones que los usuarios realizan durante el día. Esta constancia puede llevar a una memoria muscular, facilitando que el usuario apruebe mensajes push sin verificar su verdadero origen. La frustración generada por la acumulación de solicitudes también influye en la decisión del usuario, llevándolo a hacer clic en cualquier notificación recibida.
Los atacantes pueden aprovechar este método para acceder a cuentas y luego moverse lateralmente dentro de una organización. Este tipo de ataque se documenta como T1621 en el MITRE ATT&CK Framework, y se desarrolla en cinco etapas: reconocimiento, acceso a credenciales, acceso inicial, movimiento lateral e impacto.
Cómo funciona el ataque push bombing
Al activar la MFA, los usuarios reciben una notificación de autorización que suele llegar por SMS, dispositivo emergente, notificación de aplicación o correo electrónico. Con push bombing, los atacantes inician múltiples intentos de inicio de sesión con credenciales obtenidas mediante phishing o robos de datos, lo que genera una gran cantidad de notificaciones al usuario legítimo.
Estas solicitudes pueden ser engañosas si se acompañan de llamadas falsas a servicios de asistencia técnica. El objetivo es desgastar al usuario y hacerle aceptar la autorización sin verificar su verdadero propósito.
Cómo detener los ataques Push Bombing
Para mitigar el push bombing, se recomienda combinar educación de usuarios con tecnologías MFA reforzadas. Sin embargo, la concientización tiene limitaciones, ya que estudios muestran que incluso después de capacitación intensiva, un porcentaje significativo de usuarios sigue siendo vulnerable a ataques de ingeniería social.
Técnicas adaptativas de MFA
Las técnicas adaptativas de MFA añaden inteligencia al proceso tradicional para combatir indicadores anónimos. Estas incluyen geolocalización, OTP en la aplicación y solicitudes de violación de políticas de frecuencia e intervalo.
Aunque estas técnicas mejoran la seguridad, tienen limitaciones como imprecisiones en la geolocalización debido a herramientas como VPN o TOR. Además, cualquier aceptación errónea puede permitir el éxito del atacante.
Técnicas de MFA resistentes al phishing
Una solución más avanzada es el uso de MFA resistente al phishing, que vincula a los usuarios, estaciones de trabajo y navegadores con sus aplicaciones y servicios. Esta tecnología utiliza tokens de hardware como tarjetas inteligentes X.509 o llaves USB para evitar accesos no autorizados.
MFA sin contraseña
El MFA sin contraseña elimina la necesidad de crear o recordar contraseñas, reduciendo el riesgo de phishing. Este método también simplifica la gestión de TI al eliminar llamadas a soporte técnico relacionadas con contraseñas y permite una modernización más rápida de la infraestructura.
Los usuarios suelen preferir este enfoque por su simplicidad, mientras que las organizaciones lo ven como una herramienta eficaz para mejorar la seguridad y reducir costos operativos.