La autenticación multifactor (MFA) es una de las medidas más eficaces contra el robo de cuentas. Aunque una contraseña se filtre por phishing o una brecha de datos, la MFA a menudo impide que un atacante inicie sesión directamente. Aun así, una implantación de MFA a veces fracasa, no por la técnica, sino por un despliegue apresurado, demasiada fricción o excepciones poco claras. Este artículo muestra cómo introducir la MFA de forma eficaz y practicable.
¿Qué es la MFA y por qué funciona?
La MFA añade un paso al inicio de sesión. Además de algo que sabes (tu contraseña), pide algo que tienes (un teléfono, una aplicación o una llave) o algo que eres (una huella o un escaneo facial). Un atacante que solo tiene tu contraseña no puede entrar.
Precisamente porque las contraseñas se filtran tan a menudo, ese segundo factor es tan valioso. La MFA convierte una contraseña robada de una llave directa en media llave, de poco valor sin el segundo factor.
Elige el método adecuado
No todas las formas de MFA son igual de fuertes. Una elección consciente compensa:
- Aplicación de autenticación (código de un solo uso): sólida y de amplio uso, una buena opción por defecto.
- Aprobación por notificación (push): cómoda, pero cuidado con la fatiga de MFA; combínala con la comparación de números.
- FIDO2 o passkeys: resistentes al phishing y, por tanto, la protección más fuerte para cuentas de alto riesgo.
- Código por SMS: mejor que nada, pero más débil que una aplicación o una llave, porque el SMS puede interceptarse.
Empieza por las cuentas de mayor riesgo
No despliegues la MFA de golpe en toda la organización, sino por fases. Empieza por las cuentas de mayor impacto: administradores, finanzas, RR. HH., el servicio de asistencia y la dirección. Son las cuentas donde un robo causa más daño.
Al empezar poco a poco limitas el riesgo y, a la vez, ganas experiencia con el despliegue. Lo que aprendes con el primer grupo hace más fluido el despliegue más amplio.
Haz que la adopción sea simple para el usuario
Gran parte de la resistencia a la MFA no nace del rechazo, sino de la falta de claridad. Por eso, ofrece una instrucción breve y clara de una página, un vídeo corto y una vía clara hacia el soporte.
Explica también por qué se introduce la MFA. Quien entiende que protege contra el phishing y las brechas de datos vive el paso adicional como algo útil y no como una molestia. Esa explicación es tan importante como la técnica misma.
Resuelve la recuperación y las excepciones por adelantado
¿Qué pasa si alguien pierde el teléfono? Prevé códigos de recuperación, un procedimiento de sustitución y, para los administradores, un acceso de emergencia controlado. Hazlo por adelantado, no en el momento en que alguien ya está bloqueado.
Si permites excepciones, por ejemplo para sistemas antiguos o cuentas compartidas, documenta cómo compensas el riesgo: con restricciones de red, registro adicional, supervisión más estricta o un plan de migración. Una excepción sin compensación es un agujero en tu seguridad.
Factor de éxito: atención al comportamiento
La MFA no es solo técnica, también es comportamiento. El despliegue solo triunfa de verdad cuando las personas aceptan el segundo factor como parte normal de su trabajo y saben qué hacer ante algo inusual.
Anima por tanto a los empleados a notificar las solicitudes de aprobación inesperadas. Un aluvión de solicitudes que nadie ha provocado suele ser la primera señal de un ataque. Quien lo notifica en lugar de descartarlo da a tu equipo de seguridad un valioso aviso temprano.
Artículos relacionados
- Ataques de fatiga de MFA: la otra cara de la MFA en tu programa
- Los datos personales médicos son muy codiciados
FAQ
¿Qué método de MFA es el más seguro?
FIDO2 y las passkeys resisten el phishing y son, por tanto, las más fuertes. Una aplicación de autenticación es un buen valor por defecto; el SMS es la opción más débil porque puede interceptarse. Para cuentas de alto riesgo, la MFA resistente al phishing es la mejor opción.
¿Por dónde se empieza el despliegue de la MFA?
Por las cuentas de mayor impacto: administradores, finanzas, RR. HH., el servicio de asistencia y la dirección. Después se pasa al resto por fases. Eso limita el riesgo y crea experiencia con el despliegue.
¿Qué se hace si alguien pierde el teléfono?
Prevé por adelantado códigos de recuperación, un procedimiento de sustitución claro y, para los administradores, un acceso de emergencia controlado. Configúralo antes de que se necesite, no cuando alguien ya está bloqueado.
¿Cómo se gestionan los sistemas que no admiten MFA?
Permite una excepción solo si compensas el riesgo, por ejemplo con restricciones de red, registro adicional o supervisión más estricta, y documenta un plan de migración. Una excepción sin compensación es una puerta abierta para los atacantes.
¿Protege la MFA contra todos los ataques?
No. La MFA detiene la gran mayoría de los robos de cuentas, pero los atacantes intentan eludirla mediante la fatiga de MFA o el atacante intermediario. Combina por eso la MFA con la comparación de números, métodos resistentes al phishing y empleados atentos que notifican las solicitudes inusuales.