Laboratorio de elusión de MFA
Detecta la elusión de MFA real en cada incidente de inicio de sesión y elige el control que la detiene. Con puntuación de detección frente a falsos positivos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La MFA se elude todos los días, y casi nunca venciendo el factor de frente. En este laboratorio en el navegador trabajas una cola de unos 18 incidentes de inicio de sesión y en cada uno decides: un inicio de sesión legítimo o la elusión real (fatiga de push o bombardeo de notificaciones, SIM swapping sobre OTP por SMS o voz, degradación a un factor alternativo más débil, robo de tokens OAuth o de cookies de sesión reutilizados para saltarse la MFA, abuso del flujo de recuperación o restablecimiento, o phishing con un proxy adversary-in-the-middle que retransmite tu OTP). Después eliges el control que la detiene de verdad. La lección es ajustar el control a la técnica: el number matching acaba con la fatiga pero no con el AitM, solo las passkeys (FIDO2) acaban con el AitM, la vinculación de tokens (y no otro aviso de MFA) acaba con una sesión robada, y quitar el SMS acaba con el SIM swapping y las degradaciones. Se te puntúa por tasa de detección frente a falsos positivos: marcar un inicio de sesión legítimo (un push con number matching desde un dispositivo conforme, una ceremonia de passkey nueva en un portátil nuevo) supone una penalización adicional de higiene. Tres niveles de dificultad añaden elusiones y discriminadores más sutiles (AitM con number matching, reutilización del Primary Refresh Token, abuso de la recuperación a través del servicio de asistencia) y, tras la evaluación, cada escenario muestra por qué la decisión correcta lo es. Es un laboratorio Pro.
- Lee las señales de telemetría de cada incidente: origen de la contraseña, número de avisos push, portabilidad del número, reutilización de cookies y uso de la recuperación.
- Decide qué elusión de MFA ocurrió de verdad, o si es un inicio de sesión legítimo.
- Elige el control que la detiene: number matching, passkeys, quitar el SMS, vinculación de tokens y más.
- Revisa tu tasa de detección frente a falsos positivos y por qué cada decisión correcta lo es.
Preguntas frecuentes
¿Qué es el laboratorio de elusión de MFA?
Un ejercicio en el navegador en el que haces el triaje de una cola de incidentes de inicio de sesión. Cada uno tiene un conjunto de señales de telemetría (de dónde salió la contraseña, cuántos avisos push se enviaron, si se portó un número, si se reutilizó una cookie de sesión, cómo se usó la recuperación) y le das dos respuestas: qué elusión de MFA ocurrió de verdad (fatiga de push, SIM swapping, degradación del factor alternativo, robo de tokens o cookies, abuso de la recuperación o adversary-in-the-middle), o que es un inicio de sesión legítimo, y después el control que la detiene. Se te puntúa por cuántas elusiones reales identificas con el control correcto frente a cuántos inicios de sesión limpios marcas por error.
¿Cómo se puntúa?
Cada escenario tiene una técnica correcta y una mitigación correcta, con el mismo peso. Tu tasa de detección es la proporción de elusiones reales que nombras correctamente con la solución adecuada. Los falsos positivos (marcar un inicio de sesión sano y legítimo) suponen una penalización adicional de higiene, porque una cola de alertas en la que los analistas no pueden confiar es tan inútil como una que no detecta ataques reales. Una partida perfecta acierta cada escenario en los dos ejes, incluidos los inicios de sesión limpios.
¿Por qué lo difícil es elegir la mitigación?
Porque los controles son específicos de cada técnica y es fácil emparejarlos mal. El number matching derrota la fatiga de push de quien pulsa a ciegas, pero no hace nada contra un proxy adversary-in-the-middle, que retransmite el aviso auténtico: solo la MFA resistente al phishing (FIDO2/passkeys), que vincula la aserción al origen real, detiene el AitM. Volver a pedir MFA no expulsa un token de sesión robado ni un Primary Refresh Token reutilizado; sí lo hacen la vinculación de tokens, la revocación y la evaluación continua del acceso. Quitar el SMS y la voz como alternativa es lo que neutraliza de verdad el SIM swapping y las degradaciones del factor alternativo. El laboratorio te obliga a ajustar la solución al mecanismo.
¿Para quién es?
Para ingenieros de IAM e identidad, analistas de SOC y de respuesta a incidentes, y cualquiera que prepare una entrevista de seguridad y quiera entender por qué la MFA sigue eludiéndose y por qué la solución rara vez es «añadir más MFA». Enseña técnicas reales y actuales (fatiga de MFA, SIM swapping, phishing con proxy AitM, robo de tokens, abuso de la recuperación a través del servicio de asistencia) y los controles que derrotan a cada una. Se ejecuta por completo en tu navegador, sin instalación y sin enviar nada.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.