Fatiga de MFA y Credential Stuffing: El Ataque Silencioso que Está Vaciando las Cuentas de las PyMEs Mexicanas
Imagina que llegas a la oficina un lunes por la mañana y tu sistema de correo corporativo ya no responde. Los archivos de clientes han desaparecido. La cuenta bancaria de la empresa muestra transferencias que nadie autorizó. Esto no es una película de ciencia ficción: es la realidad que están viviendo decenas de PyMEs mexicanas víctimas de dos ataques que trabajan en tándem: la fatiga de MFA y el credential stuffing (relleno de credenciales).
¿Qué es el Credential Stuffing?
El credential stuffing es un ataque automatizado en el que los ciberdelincuentes utilizan bases de datos masivas de usuarios y contraseñas —obtenidas de filtraciones previas en servicios como LinkedIn, Adobe o incluso plataformas de delivery— para intentar acceder a los sistemas de tu empresa. La lógica es simple y devastadora: si un empleado usa la misma contraseña en su cuenta de Netflix y en el correo corporativo, el atacante ya tiene la llave.
En 2026, existen más de 24 mil millones de combinaciones de credenciales circulando en la dark web. Los bots modernos pueden probar miles de combinaciones por minuto, rotando direcciones IP para evitar bloqueos, y simulando comportamiento humano para evadir los sistemas de detección.
¿Qué es la Fatiga de MFA?
La autenticación multifactor (MFA) fue diseñada para ser la última línea de defensa. Sin embargo, los atacantes encontraron una grieta: el factor humano. El ataque de fatiga de MFA funciona así:
- 1El atacante obtiene las credenciales del empleado (mediante credential stuffing, phishing o compra en la dark web).
- 2Intenta iniciar sesión repetidamente, lo que genera una avalancha de notificaciones push en el teléfono del empleado.
- 3El empleado, agotado o confundido, aprueba una notificación para detener el bombardeo, creyendo que es un error del sistema.
- 4El atacante obtiene acceso total a los sistemas corporativos.
Este método fue el utilizado en el famoso ataque a Uber en 2022, y sigue siendo altamente efectivo en 2026 porque explota la psicología humana, no las vulnerabilidades técnicas.
El Impacto Real en las PyMEs Mexicanas
Según datos recientes, el 60% de las violaciones de datos en México tienen como causa raíz el factor humano: contraseñas débiles, reutilización de credenciales o aprobación accidental de solicitudes de MFA. Para una PyME, las consecuencias pueden ser devastadoras:
- Robo de información de clientes y proveedores
- Fraude financiero mediante Business Email Compromise (BEC)
- Instalación de ransomware una vez dentro de la red
- Daño reputacional que puede costar más que el ataque mismo
- Multas regulatorias por incumplimiento de la LFPDPPP
El tiempo promedio de recuperación tras un incidente de este tipo es de tres semanas, durante las cuales la empresa opera con capacidad reducida o nula.
Sectores Más Vulnerables en México
- Comercio minorista y e-commerce (múltiples cuentas de proveedores)
- Despachos contables y jurídicos (acceso a datos financieros sensibles)
- Manufactura y logística (sistemas ERP con credenciales compartidas)
- Salud y clínicas privadas (expedientes digitales de pacientes)
- Agencias de marketing y publicidad (acceso a cuentas de clientes)
Recomendaciones
- Implementa MFA resistente al phishing: Migra de notificaciones push simples a métodos con coincidencia de números (number matching) o llaves físicas FIDO2/YubiKey. Esto elimina la posibilidad de aprobación accidental.
- Audita las credenciales expuestas: Usa herramientas como Have I Been Pwned o servicios de inteligencia de amenazas para verificar si las credenciales de tu empresa han sido filtradas en brechas previas.
- Implementa un gestor de contraseñas corporativo: Herramientas como Bitwarden o 1Password Business garantizan contraseñas únicas y robustas para cada servicio, eliminando la reutilización.
- Configura alertas de inicio de sesión anómalas: Con Wazuh puedes detectar intentos de acceso desde ubicaciones inusuales, horarios atípicos o múltiples intentos fallidos en tiempo real.
- Capacita a tu equipo mensualmente: Un empleado que sabe reconocer un bombardeo de MFA es tu mejor defensa. Simula ataques de fatiga con herramientas de concienciación para que el personal sepa qué hacer: rechazar y reportar inmediatamente.
- Aplica el principio de mínimo privilegio: Limita el acceso de cada usuario solo a los sistemas que necesita. Si un atacante compromete una cuenta con privilegios limitados, el daño será contenido.
¿Necesitas ayuda con la seguridad de tu empresa?
Nuestro equipo puede ayudarte a implementar las mejores prácticas.
Solicitar Asesoría