La MFA (autenticación multifactor) es un método de acceso que exige dos o más pruebas de identidad de tipos distintos antes de entrar a una cuenta: algo que sabes, como una contraseña; algo que tienes, como el celular o una llave física; o algo que eres, como la huella o el rostro. Si un atacante roba la contraseña, sigue sin poder entrar, porque le falta el otro factor.
Es la medida de seguridad con mejor relación entre costo y efecto. Un estudio de Microsoft Research sobre cuentas empresariales encontró que reduce en 99.22% el riesgo de que una cuenta sea comprometida, y en 98.56% incluso cuando la contraseña ya se había filtrado.
Qué es la MFA
Cada vez que sacas dinero de un cajero usas MFA sin saberlo: necesitas la tarjeta, que es algo que tienes, y el NIP, que es algo que sabes. Quien roba solo la tarjeta no puede sacar dinero, y quien solo conoce el NIP, tampoco. La autenticación multifactor lleva esa misma lógica al correo, a los sistemas y a la nube de tu empresa.
Los factores se agrupan en tres tipos:
- Algo que sabes: una contraseña, un NIP o una frase.
- Algo que tienes: el celular con una app, una llave física o una tarjeta.
- Algo que eres: la huella, el rostro o la voz.
La condición es que los factores sean de tipos distintos. Una contraseña más una pregunta de seguridad no es MFA: son dos cosas que sabes, y ambas se pueden robar del mismo modo.
Métodos de MFA, del más débil al más fuerte
No todos los segundos factores protegen igual. Esta es la escala, de menor a mayor seguridad:
| Método | Cómo funciona | Seguridad | Para qué conviene |
|---|---|---|---|
| Código por SMS | Llega un código al celular por mensaje. | Baja: se puede interceptar o robar el número. | Solo como respaldo; mejor que nada. |
| App con código | Una app genera un código que cambia cada 30 segundos. | Media alta. | La opción base para todos los colaboradores. |
| Notificación con número | El celular pide aprobar el acceso escribiendo el número que aparece en pantalla. | Alta. | El uso diario en Microsoft 365 o Google Workspace. |
| Llave física | Un dispositivo USB o inalámbrico que se toca para confirmar. | Muy alta: resiste el phishing. | Administradores y cuentas críticas. |
| Passkeys | Una llave digital guardada en el celular o la computadora, que se desbloquea con huella o rostro. | Muy alta: resiste el phishing. | La dirección hacia la que va la autenticación. |
La MFA no elimina la contraseña: la complementa, y hasta cambia lo que conviene exigirle. Con un segundo factor, NIST acepta contraseñas desde 8 caracteres; sin él, pide 15. Cómo armar esa política lo explicamos en nuestra guía de contraseñas seguras.
MFA, 2FA y verificación en dos pasos
Los tres términos se usan como sinónimos, pero no significan exactamente lo mismo:
2FA (autenticación de dos factores) es MFA con exactamente dos factores de tipos distintos. Es el caso más común, contraseña más código, y por sí solo ya deja sin efecto los ataques de fuerza bruta contra la contraseña.
MFA abarca dos o más factores. Toda 2FA es MFA, pero una MFA puede pedir tres factores en accesos muy sensibles.
Verificación en dos pasos es el nombre que usan servicios como Google o WhatsApp. En la práctica suele ser 2FA, aunque técnicamente dos pasos pueden ser del mismo tipo, como una contraseña y luego un PIN.
Para una empresa, el nombre importa menos que una regla: los dos pasos tienen que ser de tipos distintos.
Quién te exige MFA
Además de proteger, la MFA se ha vuelto requisito para hacer negocios. Estos son los tres frentes que más la piden:
Aseguradoras
Los cuestionarios de ciberseguro suelen preguntar si hay MFA en el correo, en el acceso remoto y en las cuentas de administrador. Sin ella, la póliza puede encarecerse o negarse. La razón está en casos como el de Colonial Pipeline, donde los atacantes entraron con la contraseña de una cuenta de VPN sin segundo factor, como contamos en nuestro artículo sobre qué es el ransomware.
Normas y reguladores
PCI DSS, la norma de las empresas que procesan pagos con tarjeta, exige MFA para todo acceso al entorno donde viven los datos de tarjetas desde marzo de 2025 (requisito 8.4.2). ISO 27001 incluye la autenticación segura entre sus controles, y los auditores esperan verla en las cuentas con acceso a información sensible.
Clientes corporativos
Las evaluaciones de seguridad que los grandes clientes envían a sus proveedores casi siempre incluyen la pregunta. Responder que sí, con evidencia, acorta la negociación.
Cómo intentan saltarse la MFA
La MFA detiene la gran mayoría de los ataques a cuentas, y por eso los atacantes buscan rodearla. Estas son sus técnicas más comunes y cómo cerrarles el paso:
Fatiga de MFA. El atacante, que ya tiene la contraseña, dispara decenas de solicitudes de aprobación hasta que la persona, cansada o confundida, acepta una. Defensa: notificaciones que exigen escribir un número, límite de intentos y una regla clara para todos: si no lo pediste, recházalo y avisa.
Phishing que roba la sesión. Una página falsa, idéntica a la real, reenvía todo lo que escribes al sitio verdadero y se queda con la sesión ya autenticada. Defensa: llaves físicas o passkeys, que solo funcionan en el sitio legítimo, y reglas de acceso que bloqueen ubicaciones o equipos desconocidos.
Robo del número de celular. El atacante convence a la compañía telefónica de pasar tu número a otro chip y recibe tus códigos por SMS. Defensa: no usar SMS en cuentas críticas.
Engaño al soporte técnico. Alguien llama haciéndose pasar por un colaborador para que le restablezcan la MFA. Defensa: un proceso de verificación de identidad antes de cualquier restablecimiento. Una cuenta comprometida por esta vía actúa desde adentro, con los permisos de la víctima, como explicamos al hablar de amenazas internas.
Cómo implementar la MFA en la empresa
La MFA se despliega por prioridad, empezando por donde un robo de contraseña haría más daño:
- Cuentas de administrador. Son las llaves maestras: con una de ellas, un atacante controla todo lo demás.
- Correo. Es la puerta de entrada más atacada y desde ahí se restablecen las contraseñas de casi cualquier otro servicio.
- Acceso remoto y VPN. Todo lo que da acceso a la red desde fuera.
- Aplicaciones críticas: el ERP, la banca en línea, la nube y los sistemas con datos de clientes.
- El resto de los colaboradores, con fecha anunciada y soporte disponible.
El despliegue falla más por las excepciones que por la tecnología. Una empresa de logística con 200 colaboradores, por ejemplo, activa la MFA en cuatro semanas y descubre en la primera que tres cuentas de servicio, usadas por sistemas y no por personas, dejan de funcionar, y que dos colaboradores cambiaron de celular sin avisar. La solución es tener un método de respaldo para cada persona, un inventario de cuentas de servicio con controles propios y un proceso de restablecimiento definido antes del primer día. Este control encaja dentro de un esquema más amplio de controles de acceso.
Passkeys: el paso siguiente
Las passkeys, o llaves de acceso, reemplazan la contraseña por una llave digital que vive en el celular o la computadora y se desbloquea con la huella, el rostro o el PIN del equipo. No hay nada que escribir ni que robar en una página falsa: la llave solo funciona con el sitio para el que se creó, así que el phishing tradicional pierde su objetivo.
Microsoft, Google y Apple ya las admiten, y cada vez más aplicaciones de negocio. Para una empresa, lo práctico es empezar por las cuentas más expuestas, como administradores y finanzas, mientras el resto mantiene la MFA con app. No todas las aplicaciones las soportan todavía, así que la transición es gradual.
Preguntas frecuentes sobre MFA
Son las siglas de Multi-Factor Authentication, autenticación multifactor en español. Nombra cualquier método de acceso que pide dos o más pruebas de identidad de tipos distintos.
Microsoft 365 y Google Workspace la incluyen sin costo adicional. Las funciones avanzadas, como las reglas de acceso según ubicación o equipo, requieren licencias de nivel superior, y las llaves físicas se compran por separado.
Entra con su método de respaldo, como otra app registrada o una llave física, mientras TI restablece el acceso después de verificar su identidad. Por eso cada persona debe tener al menos dos métodos dados de alta desde el primer día.
Agrega unos segundos al iniciar sesión, y se puede configurar para que los equipos de confianza no la pidan en cada acceso. Combinada con el inicio de sesión único, el colaborador se autentica una vez y trabaja en todas sus aplicaciones.
Es mucho mejor que no tener segundo factor, pero es el método más débil, porque el número se puede robar. Para cuentas de administrador, finanzas o correo de dirección conviene una app o una llave física.
Tu equipo de TI o un proveedor que gestione identidades y accesos, desde el despliegue hasta el soporte diario. Así lo hacemos en nuestros servicios administrados de ciberseguridad.
Scarlet es Marketing & Design Lead y diseñadora en TecnetOne. Une creatividad y estrategia para convertir temas de ciberseguridad y nube en contenidos claros y visualmente atractivos.
