Microsoft Authenticator suprime las notificaciones de aprobación de inicio de sesión en solicitudes sospechosas

Authenticator es una aplicación de verificación multifactor que provee una capa adicional de seguridad en el inicio de sesión que utiliza la cuenta de Microsoft. El año pasado, incrementó la protección con la introducción de la 'coincidencia de números', que evita la aprobación accidental al solicitar al usuario que ingrese un código de dos dígitos desde la pantalla de inicio de sesión en la aplicación.

Esta característica combate directamente los denominados ataques de fatiga, es decir, aquellos que se aprovechan de la falta de atención que muestran los usuarios en las aprobaciones simples, en las que recibe una notificación automática para que haga clic o ingrese un PIN para aprobar el inicio de sesión.

Este tipo de ataque es capaz de sobrepasar la autenticación multifactor con el intento de iniciar sesión de forma repetida con las credenciales que previamente haya robado un cibercriminal, lo que se traduce en un envío constante de peticiones de aprobación al móvil de la víctima. La llegada de notificaciones pueden llevar al usuario a aceptar una de ellas por error o sin pensar, dando entonces acceso a su cuenta a terceros malintencionados.

Tras «frustrar con éxito» los ataques de fatiga multifactor, Microsoft ha incorporado una nueva protección avanzada en Authenticator, que suprime las notificaciones emergentes de la 'app' cuando detecta que una solicitud es anómala.

Cuando el usuario inicia una solicitud de inicio de sesión, ve en su teléfono móvil una notificación emergente, en el que se le insta a aprobar la acción. Si no ha sido esta persona quien ha iniciado el proceso de verificación, puede poner en riesgo la seguridad de su cuenta en caso de que acepte.

Por ello, la nueva protección, si detecta que el inicio de sesión se solicita desde una ubicación que no es la habitual o cualquier otra anomalía, no mostrará la notificación de aprobación de inicio de sesión, sino otra en su lugar que insta a abrir la aplicación e introducir un número que se muestra en la pantalla del móvil.

Al abrir la aplicación, el usuario verá, aquí sí, la notificación de inicio de sesión, solo que en esta ocasión recoge información como un correo electrónico, la aplicación a la que se quiere acceder y la ubicación desde la que se ha hecho la solicitud. Si todo está correcto y es el usuario quién intenta acceder, puede aprobar el proceso. En caso contrario, solo tiene que indicar que no es él quien lo ha solicitado.

Las notificaciones emergentes se suprimen, es decir, no se muestra, pero no se eliminan por completo, ya que puede recuperarlas dentro de la aplicación, como ha explicado Microsoft en su blog oficial. «La aplicación sirve como depósito para todas las notificaciones de Authenticator, lo que garantiza que los usuarios tengan una manera conveniente de recuperar cualquier solicitud perdida».