La autenticación multifactor (MFA) exige dos o más pruebas de categorías distintas antes de dar acceso: algo que la persona sabe (contraseña o PIN), algo que tiene (móvil o llave de seguridad) o algo que es (huella o rostro). Así, una contraseña robada no basta por sí sola para entrar en una cuenta.
Cómo funciona
Al iniciar sesión, el servicio suele comprobar primero la contraseña (o prescinde de ella si se usa FIDO2) y pide un segundo elemento: una aprobación en una aplicación, un código temporal, una llave física o un mensaje.
El NCSC, el organismo de ciberseguridad del Reino Unido, ordena los que recomienda para servicios corporativos según su fortaleza, garantía, accesibilidad y facilidad de uso, y aconseja adoptarlos en este orden cuando sea posible: credenciales FIDO2 (en el dispositivo de confianza o en una llave física), aplicaciones de autenticación con desafío, generadores de códigos en aplicación, generadores de códigos en hardware y, por último, mensajes por correo, SMS o llamada. Las llaves FIDO2 resisten el phishing; los códigos y las aprobaciones pueden obtenerse con engaños o con insistencia.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una empresa activa MFA en Microsoft 365 para todo el personal y empieza por las cuentas de administración. Meses después, una revisión descubre que una aplicación antigua de correo sigue conectándose con un protocolo heredado que solo pide contraseña, de modo que una cuenta con MFA podía abrirse sin segundo factor por esa vía.
La solución es cerrar el hueco: desactivar el protocolo heredado, sustituir la aplicación, revisar qué cuentas de servicio no pueden usar MFA y decidir cómo se recupera el acceso cuando alguien pierde el móvil, comprobando que ese proceso no sea más fácil de engañar que el propio control.
Límites
El NCSC advierte de tres patrones que dejan la protección a medias: los protocolos heredados que permiten entrar solo con contraseña, las cuentas excluidas porque a alguien le molesta el segundo factor y la reautenticación forzada por tiempo, que debilita la autenticación en lugar de reforzarla. Las pautas del NIST (SP 800-63B) tratan además la recuperación de cuenta como un punto que hay que diseñar con cuidado.
CISA añade amenazas conocidas: el bombardeo de notificaciones hasta que alguien pulsa aceptar, la interceptación de SMS y el cambio fraudulento de tarjeta SIM. Aun así, las aprobaciones con coincidencia de números y las aplicaciones de códigos son una mejora clara frente a la contraseña sola cuando todavía no se puede usar FIDO2. Y MFA protege el inicio de sesión, no lo posterior: una sesión robada puede seguir dando acceso.
Cuándo llamar a un experto
Pide ayuda si hay cuentas de administración sin segundo factor, si no sabes qué aplicaciones usan protocolos heredados, si necesitas definir el proceso de recuperación o si un cliente, una auditoría o una aseguradora piden demostrar que MFA cubre a todo el personal.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: revisamos qué cuentas tienen permisos elevados y si MFA se usa de verdad, aplicamos los controles técnicos que falten y explicamos al equipo cómo usarlos. Consulta nuestro servicio de ciberseguridad, la guía del plan de seguridad informática o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: phishing, Zero Trust, Active Directory y VPN.
Fuentes oficiales (en inglés): la guía del NCSC Multi-factor authentication for your corporate online services, pensada para organizaciones grandes y del sector público, la ficha de CISA Implementing Phishing-Resistant MFA y las pautas de identidad digital del NIST SP 800-63B.