--- id: "phishing-011" title: "Phishing AiTM: Por qué se intercepta tu código MFA en una web falsa" description: "Descubre cómo el phishing AiTM vulnera la doble autenticación mediante el robo de cookies de sesión MFA y cómo proteger tu organización." canonical: https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/ slug: "phishing-aitm-robo-sesion-mfa-doble-autenticacion" date: "2026-09-29" category: "phishing" product: "superphisher" lang: es author: "Brain Security · I+D Ciber y Factor Humano" frameworks: "INCIBE · CCN-CERT · ENS · NIS 2 · DORA · RGPD" --- # Phishing AiTM: Por qué se intercepta tu código MFA en una web falsa Durante años, la implantación del MFA (autenticación multifactor) se consideró la barrera definitiva contra el robo de credenciales. Para los CISO y los equipos de seguridad, exigir un código temporal por SMS o una notificación push permitía neutralizar de inmediato el 99 % de los ataques de phishing tradicionales. Por desgracia, esta certeza se desmorona ante el auge imparable de los ataques AiTM (Adversary-in-the-Middle). Hoy en día, un empleado puede introducir rigurosamente su contraseña y validar el segundo factor en su móvil, entregando al mismo tiempo el control total de su correo corporativo o de su entorno cloud. Los ciberdelincuentes ya no buscan descifrar contraseñas: eluden directamente el control de acceso. Entender este mecanismo técnico resulta imprescindible para ajustar la estrategia defensiva y los programas de concienciación interna. --- ## ¿Cómo intercepta un kit de phishing AiTM el token de sesión a pesar del MFA? > **En resumen: Un kit AiTM funciona como un proxy inverso malicioso que retransmite en tiempo real las peticiones entre la víctima y el servicio legítimo. Cuando el usuario valida el código 2FA, el servidor oficial emite una cookie de sesión que el atacante intercepta para suplantar su identidad de inmediato.** A diferencia de una web de phishing clásica que se limita a clonar la apariencia de una pantalla de inicio de sesión para capturar pulsaciones de teclado, la infraestructura AiTM opera de forma dinámica: - **Retransmisión en espejo:** El atacante despliega un servidor intermedio (reverse proxy) bajo un dominio engañoso. Cuando la víctima hace clic en el enlace malicioso, el servidor del atacante carga la página real de autenticación del proveedor (por ejemplo, el portal de un servicio cloud corporativo) y se la muestra a la víctima. - **Intercepción del primer factor:** El usuario introduce su usuario y contraseña. El proxy malicioso los traslada al instante al servicio legítimo, el cual solicita el segundo factor habitual. - **Validación del MFA:** La víctima recibe la solicitud de aprobación en su app de autenticación o su código numérico, confirmándolo con total normalidad. Para el usuario, el comportamiento del sistema es idéntico al de cualquier acceso ordinario. - **Captura de la cookie de sesión:** Una vez aprobado el MFA, el servidor legítimo genera un token de autenticación (session cookie) para mantener la sesión abierta. Es precisamente este token el que el proxy AiTM captura al vuelo antes de redirigir a la víctima a una página inocua. Con esta cookie en su poder, el atacante la inyecta en su propio navegador. Así esquiva la contraseña, la aplicación MFA y los posibles cambios de credenciales, accediendo de forma directa al entorno corporativo sin levantar sospechas inmediatas. --- ## ¿Por qué los métodos 2FA tradicionales ya no bastan frente al robo de sesión? > **En resumen: Los métodos MFA clásicos como SMS, aplicaciones TOTP o notificaciones push carecen de vinculación criptográfica con el dominio web legítimo. Certifican la identidad del usuario en un momento dado, pero no validan la autenticidad de la URL que carga el navegador.** Los códigos de un solo uso generados por aplicaciones o remitidos mediante SMS comparten una debilidad de diseño crítica: dependen de la intervención manual del usuario. Siempre que una persona deba leer una serie de caracteres para transcribirla en un formulario, existe la posibilidad de que sea manipulada para introducirla en una web falsa. ### La debilidad de las notificaciones push y los códigos TOTP Incluso las notificaciones push con coincidencia de números (number matching) resultan vulnerables a los esquemas AiTM. El proxy inverso refleja el número generado por el servidor legítimo directamente en la pantalla del usuario engañado, quien procede a marcarlo en su smartphone sin advertir el engaño. ### La necesidad de autenticación FIDO2 y Passkeys Para neutralizar de raíz esta vulnerabilidad, los estándares de seguridad avanzan hacia esquemas resistentes al phishing (phishing-resistant MFA) basados en FIDO2 y WebAuthn: - **Vinculación criptográfica al dominio:** En una autenticación FIDO2 (mediante llaves de seguridad físicas o Passkeys), el navegador interactúa directamente con el componente hardware seguro, transmitiendo la URL exacta del sitio visitado. - **Bloqueo automático ante dominios fraudulentos:** Si el usuario accede a un dominio malicioso (por ejemplo, `login-seguro-dominio.com` en lugar del dominio oficial), la clave criptográfica se niega a firmar la petición porque el origen no coincide. El proxy AiTM no recibe ningún dato válido y no puede obtener la cookie de sesión. --- ## ¿Cómo proteger eficazmente a tu organización frente al phishing AiTM? La adopción generalizada de llaves de seguridad y Passkeys exige tiempo y adaptaciones en la infraestructura. Mientras se consolida esta evolución técnica, existen medidas operativas para reducir de forma drástica la superficie de exposición. ### Endurecer las políticas de acceso condicional Limita la utilidad de las cookies de sesión interceptadas mediante reglas de acceso rigurosas: - **Exigencia de dispositivos conformes:** Restringe el uso de sesiones web procedentes de terminales no registrados o que incumplan las políticas corporativas de cumplimiento (gestión MDM). - **Restricciones geográficas y alertas por viajes imposibles:** Detecta inicios de sesión incompatibles en el tiempo, como una validación de sesión en Madrid seguida de peticiones API desde otro continente dos minutos más tarde. - **Reducción del tiempo de vida de los tokens:** Acorta la vigencia de las sesiones web para exigir reautenticaciones periódicas en los aplicativos críticos. ### Entrenar al equipo en la verificación de URLs El eslabón débil de un ataque AiTM sigue siendo el dominio: el atacante no puede replicar con exactitud el dominio legítimo del proveedor del servicio. La comprobación meticulosa de la barra de direcciones del navegador continúa siendo una línea de defensa vital. Para consolidar estos hábitos en toda la plantilla, el entrenamiento en situaciones reales resulta indispensable. Con [Super Phisher](/es/catalogo/super-phisher/), nuestro simulador de campañas de phishing de entrenamiento desplegado con nuestros expertos, enfrentas a tus equipos a escenarios actuales y realistas para evaluar y reforzar su capacidad de detectar anomalías en las URLs antes de introducir cualquier credencial. --- ## Hacia una ciberdefensa moderna que combine técnica y factor humano El phishing diseñado para burlar el doble factor de autenticación evidencia la rapidez con la que evolucionan las tácticas del adversario. Confiar exclusivamente en medidas técnicas sin reforzar la concienciación de los usuarios genera una falsa sensación de seguridad muy peligrosa. La respuesta más sólida combina arquitecturas FIDO2, un ajuste riguroso de los controles de acceso y una preparación continua de los equipos frente al engaño y la ingeniería social avanzada. ¿Quieres evaluar la preparación de tus colaboradores ante los ciberataques actuales y diseñar un plan de entrenamiento a medida? [Contacta con nosotros](/es/reservar/) para hablar con nuestro equipo y conocer nuestras metodologías prácticas. ### 15 / 30 / 60 / 90-Day Rollout Plan: Phishing AiTM: Por qué se intercepta tu código MFA en una web falsa | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Retransmisión en espejo | El atacante despliega un servidor intermedio (reverse proxy) bajo un dominio engañoso. Cuando la víctima hace clic en el enlace malicioso, el… | ¿Cómo intercepta un kit de phishing AiTM el token de sesión a… | | **D+30 · Pilot** | Vinculación criptográfica al dominio | En una autenticación FIDO2 (mediante llaves de seguridad físicas o Passkeys), el navegador interactúa directamente con el componente hardware seguro… | ¿Por qué los métodos 2FA tradicionales ya no bastan frente al… | | **D+60 · Rollout** | Exigencia de dispositivos conformes | Restringe el uso de sesiones web procedentes de terminales no registrados o que incumplan las políticas corporativas de cumplimiento (gestión MDM). | ¿Cómo proteger eficazmente a tu organización frente al phishing… | | **D+90 · Audit** | Intercepción del primer factor | El usuario introduce su usuario y contraseña. El proxy malicioso los traslada al instante al servicio legítimo, el cual solicita el segundo factor… | ¿Cómo intercepta un kit de phishing AiTM el token de sesión a… | --- ## Para profundizar: artículos relacionados y soluciones de Brain Security ### Artículos complementarios sobre este tema - **[Ingeniería social en redes profesionales: Cuando una falsa oferta oculta una intrusión](/es/cyberseguridad/ingenieria-social-redes-profesionales-falsa-oferta/)** (Phishing e Ingeniería social) : Descubre cómo los ciberdelincuentes usan redes profesionales para engañar a tus empleados con ofertas falsas y robar accesos críticos. - **[Tasa de reporte de phishing: por qué el CISO debe abandonar la tasa de clics](/es/cyberseguridad/tasa-reporte-phishing-ciso-clics/)** (Phishing e Ingeniería social) : Descubre por qué la tasa de reporte de phishing supera a la de clics para reducir la exposición al riesgo y proteger tu empresa en minutos. - **[Baiting y memorias USB trampa: Por qué la curiosidad sigue siendo un vector crítico de intrusión](/es/cyberseguridad/baiting-usb-trampa-curiosidad-vector-intrusion/)** (Phishing e Ingeniería social) : Descubre cómo un ataque de baiting con USB burla la seguridad física de tu empresa y qué medidas clave debe aplicar un CISO para mitigar este riesgo. - **[Despachos de abogados y consultoría: Proteger el secreto profesional frente a ataques dirigidos](/es/cyberseguridad/despachos-abogados-consultoria-ciberseguridad-secreto-profesional/)** (Sectores y Perfiles) : Descubra por qué los despachos de abogados y consultoras son blanco del cibercrimen y cómo proteger a sus equipos frente al spear-phishing avanzado. ### Descubrir las soluciones de Brain Security en el sitio web - **Solución asociada : [Super Phisher](/es/catalogo/super-phisher/)** : El simulador de phishing que entrena a sus equipos frente a ataques reales, del falso correo al código QR trampa, en un marco controlado que nunca captura una contraseña. - **[Consultar los casos de uso por objetivo y sector](/es/casos-de-uso/)** - **[Comparar nuestros formatos de concienciación ciber e IA](/es/comparacion/)** - **[Explorar todo el catálogo interactivo de Brain Security](/es/catalogo/)** - **[Hablar de sus necesidades con nuestro equipo (demo y puesta en marcha)](/es/reservar/)** --- - https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [Deutsch](https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Dansk](https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)