Son las tres y cuarto de la madrugada y el teléfono móvil comienza a vibrar sin tregua en la mesilla de noche. En la pantalla se suceden notificaciones automáticas una tras otra: «Solicitud de inicio de sesión: cuenta Microsoft», «¿Acabas de intentar iniciar sesión en PlayStation Network?» o «Solicitud de verificación en dos pasos de Ubisoft». Decenas de avisos inundan el terminal en cuestión de minutos. Entre el sueño y el fastidio, pensando que se trata de un fallo del servidor o un bucle de la aplicación, el usuario pulsa «Aprobar» con el único propósito de acallar las insistentes vibraciones.
Apenas noventa segundos después, el correo electrónico principal de la cuenta es desvinculado y sustituido, la contraseña modificada, la aplicación de autenticación revocada y la biblioteca al completo —con cientos de juegos, expansiones y años de progresos— pasa a manos de ciberdelincuentes.
Esta modalidad de ataque se conoce como fatiga de MFA (MFA Fatigue), y también recibe el nombre de bombardeo de notificaciones push (Push Bombing) o agotamiento por avisos (Prompt Exhaustion). Conforme los jugadores han ido adoptando de forma generalizada la verificación en dos pasos (2FA/MFA), las organizaciones delictivas han adaptado su estrategia: en lugar de intentar vulnerar complejos algoritmos de cifrado, atacan la resistencia psicológica del usuario para franquear el segundo factor de autenticación.
Anatomía de un ataque de fatiga de MFA
El bombardeo de autenticaciones no se produce al azar; constituye la fase culminante de una operación previa de relleno de credenciales (credential stuffing):
- Obtención de contraseñas filtradas: Los atacantes consiguen el correo electrónico y la contraseña de la víctima a partir de filtraciones de datos masivas (como foros de videojuegos vulnerados, tiendas de periféricos o recopilaciones de credenciales en Discord).
- Impacto contra el segundo factor: El intruso introduce los datos correctos en el portal de acceso (Xbox, PlayStation Network o Ubisoft). Como la cuenta tiene activada la verificación en dos pasos, el servidor detiene el inicio de sesión y envía una solicitud de autorización al dispositivo móvil registrado.
- Bombardeo automatizado: Lejos de desistir, el atacante ejecuta un script automatizado que repite la solicitud de acceso cada pocos segundos. Esto desencadena un aluvión incesante de ventanas emergentes, avisos push y mensajes de verificación en el teléfono de la víctima.
- Desgaste psicológico: Los ataques se programan de forma deliberada durante horas de sueño profundo o en momentos de máxima concentración en partidas clasificatorias. El objetivo es quebrar la atención del usuario para provocar una pulsación accidental en «Aprobar» o conseguir que ceda por mero cansancio.
Qué ocurre en los primeros 60 segundos tras pulsar «Aprobar»
Una única pulsación en «Aprobar» concede al atacante un token de sesión con privilegios plenos de administración. Los bots de robo ejecutan de forma automatizada una secuencia implacable:
- Modificación del alias principal: En cuentas del entorno Microsoft, los delincuentes añaden de inmediato un nuevo alias de outlook.com, lo designan como alias principal y eliminan el correo original del usuario. Esta maniobra suprime al instante cualquier posibilidad de recuperar la contraseña mediante correo electrónico.
- Desautorización de los métodos de seguridad: Registran su propia llave de seguridad o aplicación de autenticación, revocan el teléfono de la víctima y generan nuevos códigos de recuperación de un solo uso.
- Vaciado de fondos y métodos de pago: Se utilizan de inmediato las tarjetas vinculadas, cuentas de PayPal o saldos de monedero para adquirir códigos de regalo, tarjetas prepago o monedas virtuales, transfiriéndolos a cuentas secundarias para su blanqueo.
- Desvinculación de consolas: Desconectan remotamente las consolas PlayStation o Xbox asociadas, privando a los dispositivos físicos del acceso a los juegos digitales adquiridos.
Diferencias técnicas entre las principales plataformas de juego
La arquitectura elegida por cada servicio determina su resistencia real frente a los ataques por bombardeo:
1. Microsoft y Xbox: La eficacia del emparejamiento numérico (Number Matching)
Las ventanas emergentes con botones simples de «Aprobar / Denegar» son el principal blanco de la fatiga de MFA. Para erradicar este riesgo, Microsoft implantó el emparejamiento de números (Number Matching) en su aplicación de autenticación. Al iniciar sesión, la pantalla del navegador muestra un número aleatorio de dos cifras que el usuario debe teclear manualmente en el móvil. Dado que el atacante remoto no puede ver dicho número, resulta imposible conceder acceso a ciegas. Asimismo, las cuentas Microsoft permiten suprimir totalmente la contraseña habitual en favor del inicio de sesión sin contraseña.
2. PlayStation Network: Superar la vulnerabilidad de los SMS
PlayStation Network admite la verificación mediante mensajes de texto (SMS) o aplicaciones de autenticación estándar (como Google Authenticator). El SMS es susceptible al bombardeo y al duplicado de SIM. Migrar a una aplicación basada en contraseñas de un solo uso por tiempo (TOTP) erradica el problema, pues estos programas generan códigos locales de seis cifras cada 30 segundos sin emitir notificaciones push intrusivas.
3. Steam: La robustez nativa de Steam Guard
El sistema de seguridad móvil de Steam nunca ha utilizado la aprobación ciega mediante notificaciones push para los inicios de sesión en PC. Acceder a Steam requiere escanear un código QR desde la aplicación oficial o introducir un código alfanumérico de cinco caracteres generado localmente. Aunque las confirmaciones de intercambios sí emplean notificaciones, el acceso inicial a la cuenta no puede forzarse mediante pulsaciones mecánicas por fatiga.
4. Ubisoft Connect y Cuentas EA
Tanto Ubisoft como EA emplean códigos por correo o aplicaciones de autenticación. Si recibe un correo o aviso imprevisto con un código de seguridad sin haberlo solicitado, significa que un intruso ya conoce su contraseña y la ha introducido en la pantalla de acceso.
Actuación de urgencia ante un bombardeo activo
Si su teléfono está recibiendo una ráfaga continua de solicitudes de autenticación en este momento, actúe con celeridad:
- No pulse «Aprobar» bajo ninguna circunstancia: Pulse «Denegar» y seleccione las opciones «No he sido yo» o «Notificar actividad sospechosa».
- Asuma que su contraseña ha sido descubierta: Un bombardeo push demuestra que el atacante ya posee su contraseña correcta. Rechazar las solicitudes solo frena temporalmente la intrusión; cambiar la clave es prioritario.
- Cambie la contraseña desde un dispositivo no comprometido: Utilice otro equipo o navegador limpio, acceda al panel oficial de seguridad y establezca una contraseña nueva y robusta de más de 16 caracteres.
- Cierre todas las sesiones activas: Localice la función «Cerrar sesión en todos los dispositivos» para invalidar cualquier token de acceso temporal emitido.
- Compruebe los datos de contacto y consolas: Verifique que no figuren correos secundarios desconocidos, números de teléfono extraños ni consolas ajenas asociadas a su perfil.
Al examinar oleadas nocturnas de solicitudes de verificación dirigidas a cuentas de consola o PC, las guías de seguridad de 365Finds aconsejan interpretar la recepción reiterada de códigos como una prueba inequívoca de que las credenciales maestras ya han sido vulneradas.
Lista de control para el refuerzo de la cuenta
- Configurar emparejamiento numérico o TOTP: Sustituya las aprobaciones de un solo toque por el emparejamiento de números o aplicaciones con códigos rotativos temporales.
- Erradicar la reutilización de contraseñas: No comparta nunca la clave de sus cuentas de juego principales con foros, plataformas de torneos o bots externos.
- Custodiar los códigos de respaldo sin conexión: Guarde los códigos de recuperación de emergencia en una libreta física o en un gestor de contraseñas cifrado, evitando capturas de pantalla en la nube.
- Restringir las compras directas sin confirmación: Active la exigencia obligatoria de PIN para efectuar pagos en consolas y evite conservar tarjetas con cobro automático sin segundo factor de seguridad.