Llamadas falsas de soporte de TI: cómo el phishing puede eludir MFA

En 28 de octubre de 2026, publicó el Centro Canadiense de Seguridad Cibernética alerta AL26-028 sobre una campaña en curso de servicio de asistencia falsa dirigida a organizaciones canadienses, incluidas firmas legales y financieras. Las personas que llaman se hacen pasar por personal de TI interno y envían a los empleados a páginas de inicio de sesión fraudulentas.

La fecha marca la publicación de la alerta, no el inicio de los ataques. Este artículo explica la advertencia y brinda a los empleados y equipos pequeños una lista de verificación de respuesta práctica. Hechos comprobados el 30 de octubre de 2026.

La trampa comienza con una petición plausible.

Imagínese esta llamada ficticia: "Hola, soy TI. La migración de su cuenta está vencida. Abra el enlace que le envío para que podamos finalizar antes de su próxima reunión". Está ocupado, la persona que llama parece útil y la página le resulta familiar. La solicitud lo lleva de una conversación a un inicio de sesión que no inició.

Esto es phishing de voz, o vistiendo. El Centro Cibernético guía de vishing explica cómo la suplantación, la urgencia y los identificadores de llamadas falsos crean confianza. Un nombre familiar o un número mostrado no constituye una verificación independiente.

Por qué algunas comprobaciones de MFA todavía se pueden retransmitir

Inteligencia de amenazas de Google Análisis del 15 de mayo sobre la suplantación de identidad relacionada con el servicio de asistencia técnica describe una retransmisión en tiempo real: una página similar captura una contraseña, la envía al servicio real y le pide a la persona que complete el desafío MFA resultante. Un código retransmitido o una aprobación pueden permitir que el atacante se autentique. Una contraseña compleja no impide que alguien la envíe a la página equivocada.

Mantenga MFA habilitado. Todavía agrega protección, pero diferentes métodos resisten diferentes ataques. El Centro Cibernético Orientación del MFA distingue la fatiga del push, el robo de tokens y la interceptación, y recomienda métodos resistentes al phishing. La combinación de números puede ayudar con la fatiga al empujar; no convierte cada aprobación en una autenticación resistente al phishing.

Para la estructura visible de un enlace, utilice el comprobador de enlaces locales sin visitar el destino. Su resultado no puede establecer que una solicitud sea genuina; nuestro Guía de enlaces de SMS y correo electrónico explica los controles independientes.

Pausar y verificar a través de un canal conocido

• Finalice una llamada inesperada solicitando un cambio de contraseña, un restablecimiento de MFA o un nuevo autenticador.
• Abra su marcador de soporte existente o utilice el contacto de la mesa de ayuda desde su directorio interno. Evite el enlace de la persona que llama, el número de teléfono proporcionado y el botón de devolución de llamada del identificador de llamadas.
• Pregúntele a su equipo de soporte verificado si la solicitud es genuina antes de continuar.
• No revele una contraseña, un código de un solo uso o un código de recuperación a la persona que llama, ni apruebe un inicio de sesión que no haya iniciado ni verificado.

Una respuesta útil es: "Me pondré en contacto con el soporte a través de nuestro canal habitual y verificaré la solicitud allí". Su verificación debería funcionar incluso si la persona que llama se desconecta. El objetivo es una rutina repetible, en lugar de adivinar si una voz suena digna de confianza.

Un pretexto de clave de acceso no es una clave rota

La alerta de octubre incluye el registro urgente de claves de acceso entre los pretextos de quienes llaman. Eso no demuestra que la criptografía de clave de acceso haya sido derrotada. FIDO explica que las claves de acceso están vinculadas al servicio para el que fueron creadas., ayudando a resistir el phishing de sitios similares. La recuperación y el registro de la cuenta aún necesitan protección: un atacante puede intentar persuadirlo para que autorice un cambio no deseado.

Para conocer las diferencias entre una contraseña, una clave de seguridad y una clave de acceso, consulte nuestra guía de claves y contraseñas. No desactive una protección existente porque una persona que llama no solicitada afirma que está bloqueando una migración.

Si ya has ingresado tus credenciales

Deje de interactuar con la página y notifique inmediatamente a su equipo de seguridad o de TI verificado. Dígales qué cuenta estuvo involucrada, cuándo sucedió y si ingresó una contraseña, proporcionó un código o aprobó una solicitud. No les envíe la contraseña o el código real.

La guía de respuesta de la alerta de octubre exige revocar sesiones y tokens activos, restablecer credenciales, eliminar métodos o dispositivos MFA no autorizados y revisar la actividad de la cuenta. Un solo restablecimiento de contraseña puede dejar otras rutas de acceso. Deje que el administrador de la cuenta coordine estas acciones para una cuenta del lugar de trabajo.

Conservar el mensaje, la dirección de la página y la hora de la llamada para la investigación sin volver a abrir el enlace sospechoso. El Centro Cibernético guía de respuesta a incidentes Hace énfasis en documentar eventos, asignar responsabilidades y tener un canal de contacto alterno. Informar con prontitud le da al equipo la oportunidad de contener el incidente.

Una breve lista de verificación para equipos pequeños

de google Análisis de seguimiento del 6 de agosto recomienda autenticación resistente al phishing y controles de acceso a dispositivos administrados. Combine esos controles técnicos con un proceso escrito para la recuperación de cuentas y la inscripción de nuevos dispositivos.

Haga que la ruta de informes sea fácil de encontrar antes de que ocurra un problema. Agregue un contacto verificado de la mesa de ayuda y un breve procedimiento de llamada inesperada a su política de contraseña del equipo. Practique el escenario utilizando detalles inventados, sin recopilar contraseñas o códigos reales de los empleados.