Protección Ante el ‘MFA Bombing’: Estrategias Clave para Usuarios de Apple

Los usuarios de Apple están siendo el objetivo de una ola creciente de ataques de phishing conocidos como “MFA Bombing”. Este método se aprovecha de la impaciencia de los usuarios y de un fallo en el sistema de restablecimiento de contraseñas de Apple, poniendo en riesgo la seguridad de las cuentas. Los ataques de phishing, por lo general, buscan que el usuario proporcione información sensible al atacante o permita que este realice acciones sobre su cuenta, habitualmente a través de correos electrónicos, mensajes de texto u otros medios. La Protección Ante el ‘MFA Bombing’ se ha convertido en una prioridad para los usuarios de Apple, quienes se encuentran en el punto de mira de esta sofisticada forma de ataque.

Recientemente, se ha descubierto un ataque de phishing que utiliza una táctica novedosa para engañar a las víctimas, empleando el sistema de restablecimiento de contraseña de Apple. Este ataque, detallado por Krebs on Security y conocido como “MFA Bombing”, es una estrategia de phishing sofisticada que parece explotar un error en la función de restablecimiento de contraseña. Las víctimas son inundadas con notificaciones para restablecer la contraseña, que incluyen el mensaje “Usa este iPhone para restablecer tu contraseña de Apple ID”, con las opciones para permitir o rechazar la solicitud.

“MFA Bombing”: Qué es y Cómo Afecta a Usuarios de Apple

Aunque estas notificaciones son legítimas y suelen mostrarse al usuario cuando intenta restablecer su contraseña de Apple ID como parte de la autenticación multifactor en dispositivos como iPhone, Mac, iPad o Apple Watch, se convierten en una herramienta para los atacantes dentro del contexto del “MFA Bombing”. El problema surge cuando el atacante bombardea al objetivo con tantas notificaciones que el usuario se ve presionado a seleccionar “Permitir” en lugar de “No Permitir”, ya sea por error o para detener el flujo constante de alertas.

El objetivo de “MFA Bombing” es, finalmente, que el usuario se frustre o confunda y permita el restablecimiento de la contraseña, lo que daría al atacante acceso completo a la cuenta de Apple del usuario. Este tipo de ataque no solo expone información personal sensible, sino que también puede llevar a la pérdida de acceso a servicios esenciales y datos valiosos almacenados en la nube de Apple.

Fases del Ataque y Cómo se Ejecuta

Si el bombardeo inicial de notificaciones no logra su objetivo, los atacantes pueden optar por un enfoque más directo si conocen el número de teléfono del objetivo. En esta fase, el usuario recibe una llamada de los atacantes, que se hacen pasar por el soporte técnico de Apple, utilizando técnicas de spoofing para que el número de teléfono que aparece en la pantalla del usuario sea el de soporte al cliente de Apple.

Después de un número inusual de notificaciones que podrían parecer un fallo, una víctima desprevenida puede creer que la llamada es legítima y proceder a proporcionar información sensible o permitir acciones que comprometan su seguridad.

Protección Ante el ‘MFA Bombing’

Para los usuarios de Apple que enfrentan este tipo de ataque, hay varias estrategias que pueden implementar para protegerse. Aunque las notificaciones en sí mismas no pueden ser detenidas completamente, es crucial ser vigilantes y seleccionar siempre “No Permitir” cada vez que aparece la notificación.

Si los atacantes llaman insistiendo en obtener el código, la mejor práctica es indicarles que se les devolverá la llamada a través del número oficial de soporte de Apple. Es importante recordar que Apple nunca solicitará información del cliente por teléfono como forma de verificación, lo cual es un indicador clave de que la llamada no es genuina.

Habilitar la Clave de Recuperación de Apple es otra opción más extrema que ayudará a asegurar que el restablecimiento de la contraseña de la cuenta no pueda ser realizado por un atacante. Esto requiere que el usuario conserve un código de paso largo para realizar la acción por sí mismo en el futuro y, como indica la notificación, el código no debe proporcionarse a nadie, incluso si se solicita.