Autenticación multifactor (MFA) en la empresa: tipos, estándares y cómo elegir

Un empleado de administración recibe un correo a primera hora. Parece la factura habitual de vuestro proveedor principal, con el mismo formato y el mismo tono de siempre. Hace clic, introduce su contraseña corporativa en una pantalla idéntica a la de vuestra suite ofimática y pulsa enter. Si el atacante entra en vuestra red o se queda fuera en ese momento, depende exclusivamente de lo que ocurra en el siguiente segundo.

Con los ataques de phishing (suplantación de identidad) impulsados por inteligencia artificial disparados un 3000 %, una contraseña compleja ya no es una barrera. Aquí tienes qué métodos resisten de verdad a los ataques modernos y cómo desplegar la autenticación multifactor en tu empresa sin que la plantilla se rebele.

Qué es y por qué importa

La autenticación multifactor (MFA) es un sistema de seguridad que requiere más de una prueba para verificar la identidad de un usuario antes de darle acceso a una cuenta o sistema. El objetivo es simple: convertir una contraseña robada en algo inútil para el atacante mediante un enfoque de capas.

Para que sea verdaderamente multifactor, debe combinar al menos dos de estos tres elementos distintos:

• Algo que sabes: una contraseña, un PIN o la respuesta a una pregunta de seguridad.
• Algo que tienes: un teléfono móvil, una aplicación generadora de códigos o una llave de seguridad física.
• Algo que eres: tu huella dactilar, el reconocimiento facial o el escáner de iris.

Pedir dos contraseñas distintas no es MFA, porque ambas pertenecen a la misma categoría. La fuerza de este sistema reside en la independencia de los factores. Un atacante en otro continente puede comprar tu contraseña en un foro por unos céntimos. Sin embargo, le resultará infinitamente más complejo viajar hasta tu oficina para robarte el teléfono móvil del bolsillo.

Imagina una pyme de distribución en Valencia donde un atacante consigue la contraseña del director comercial. Si la empresa solo usa contraseñas, el atacante entra, lee los correos y envía facturas falsas a los clientes. Si la empresa tiene MFA activado, el sistema pide un código que solo llega al móvil del director. El ataque termina ahí.

Los datos respaldan esta necesidad. El 77 % de las brechas de seguridad relacionadas con hackeos involucran credenciales robadas. Además, los ataques de spear phishing (suplantación de identidad dirigida) impulsados por IA tienen hoy una tasa de éxito del 47 % incluso cuando se dirigen a profesionales de seguridad capacitados. La contraseña ha muerto como línea de defensa única.

Los métodos de autenticación, de menos a más seguro

No todos los segundos factores protegen igual. La industria ha evolucionado rápido porque los atacantes han aprendido a saltarse los métodos más antiguos. Las agencias de ciberseguridad insisten en que cualquier MFA es mejor que no tener ninguno, pero recomiendan encarecidamente migrar hacia los estándares más robustos.

SMS y llamadas de voz

El sistema te envía un mensaje de texto con un código numérico o te hace una llamada automatizada. Es el método más antiguo y hoy se considera el más débil de todos.

El principal problema es el SIM swapping (duplicado de tarjeta SIM). Un atacante llama a tu operadora telefónica, se hace pasar por ti con datos básicos robados y pide un duplicado de la tarjeta. A partir de ese momento, los SMS con los códigos de acceso le llegan a él. Además, este método no ofrece ninguna protección contra el phishing en tiempo real: si el usuario introduce el código del SMS en una web falsa, el atacante lo captura y lo usa instantáneamente en la web real.

Si tienes que usar SMS como método de respaldo porque un sistema antiguo no permite otra cosa, el estándar del NIST (Instituto Nacional de Estándares y Tecnología) establece una regla clara de configuración defensiva. Los dispositivos no deben mostrar el secreto de autenticación (el código SMS) en la pantalla mientras el teléfono esté bloqueado.

Aplicaciones de códigos (TOTP)

Las aplicaciones de autenticación corporativas o las integradas en gestores de contraseñas generan un código de seis dígitos que cambia cada 30 segundos.

Al no depender de la red de telefonía, eliminan de un plumazo el riesgo del duplicado de SIM. Son una opción sólida para la mayoría de los servicios, pero tienen un punto ciego importante: siguen siendo vulnerables al phishing en tiempo real. El atacante crea una web falsa que te pide el código de la app, tú lo escribes engañado por el diseño idéntico al original, y el criminal lo utiliza en la plataforma legítima antes de que caduquen los 30 segundos.

Notificaciones push

Es el método más cómodo para el usuario. Intentas iniciar sesión y tu móvil recibe una notificación: “¿Estás intentando acceder? Sí / No”. Solo tienes que pulsar un botón.

Sin embargo, esta comodidad trajo consigo un nuevo vector de ataque: el push bombardment (bombardeo de notificaciones) o fatiga de MFA. El atacante, que ya tiene tu contraseña, lanza decenas de intentos de inicio de sesión de madrugada. Tu móvil no para de vibrar. Al final, medio dormido o por puro cansancio, pulsas “Sí” para que pare y le das acceso directo a la red corporativa.

Para solucionar esto, debes activar la coincidencia de números (numbers matching). Con este sistema, la pantalla del ordenador muestra un número (por ejemplo, 84) y el usuario tiene que teclear ese número exacto en la aplicación de su móvil para aprobar el acceso. Esto bloquea por completo los ataques de fatiga, ya que el atacante no puede ver el número que aparece en la pantalla del usuario.

El estándar resistente al phishing: FIDO/WebAuthn y passkeys

Es el único método ampliamente disponible que protege de verdad contra los ataques modernos. La autenticación FIDO/WebAuthn utiliza criptografía de clave pública para vincular el inicio de sesión a la web exacta en la que te encuentras.

Cuando registras este método, tu dispositivo genera un par de claves criptográficas exclusivas para ese dominio exacto. La clave pública se envía al servidor, pero la clave privada nunca sale de tu equipo. Cuando intentas iniciar sesión, el servidor te envía un desafío matemático. Tu dispositivo usa la clave privada para resolverlo y devuelve la respuesta.

Si un empleado hace clic en un correo falso y llega a un dominio fraudulento, el dispositivo se dará cuenta de la discrepancia y se negará a firmar el desafío. El usuario no puede equivocarse porque la criptografía hace el trabajo por él.

Existen dos formas principales de usar este estándar:

• Llaves de seguridad físicas: dispositivos USB o NFC que el usuario toca para confirmar su identidad. Son ideales para administradores de sistemas y perfiles de alto riesgo.
• Passkeys (claves de acceso): la misma tecnología criptográfica, pero integrada en el chip de seguridad del móvil o el ordenador del usuario. Se desbloquean con los sistemas biométricos del sistema operativo o el PIN del dispositivo.

La adopción de esta tecnología se está acelerando. En 2024, el 53 % de los usuarios encuestados ya habían habilitado passkeys en al menos una cuenta. Los motivos para las empresas son claros: reducen la exposición al phishing y al robo de credenciales en un 99,99 % y son 6 veces más rápidas para iniciar sesión que las contraseñas tradicionales.

Cómo planificar el despliegue en tu empresa

Activar MFA de golpe para toda la plantilla un lunes por la mañana es la receta perfecta para colapsar al departamento de soporte técnico y generar frustración. El despliegue debe ser gradual, priorizado y bien comunicado.

1. Cuentas de administrador y accesos críticos

Empieza por los perfiles que tienen las llaves del reino: administradores de red, gestores de plataformas en la nube, consolas de antivirus y sistemas de copias de seguridad. Para este grupo, la recomendación es estricta: implementa llaves físicas FIDO2. Un administrador comprometido significa el compromiso total de la empresa.

2. Correo electrónico y colaboración

El correo corporativo es la puerta de entrada a todo lo demás. Si un atacante controla el correo de un empleado, puede restablecer las contraseñas de casi cualquier otro servicio. Activa MFA aquí utilizando aplicaciones con coincidencia de números o, preferiblemente, planifica la transición hacia passkeys.

3. Accesos remotos (VPN y Escritorio Remoto)

Cualquier puerta que conecte internet con tu red interna debe tener MFA. Los ataques de ransomware suelen empezar por una conexión VPN antigua que solo requería un usuario y una contraseña que se filtró meses atrás en la dark web.

4. Bloqueo de protocolos heredados

De nada sirve poner una puerta blindada si dejas la ventana abierta. Los protocolos de autenticación antiguos (como POP3, IMAP o SMTP básico) no entienden qué es el MFA. Si los dejas activos, los atacantes los usarán para saltarse tus nuevas medidas de seguridad.

Para comprobar si tu entorno de correo corporativo sigue permitiendo protocolos heredados, revisa la configuración de acceso condicional o consulta el estado de la organización. Si están permitidos, tienes un agujero de seguridad que debes planificar cerrar cuanto antes.

5. Fase piloto y comunicación a la plantilla

Antes de activar nada a nivel global, selecciona a un grupo de usuarios con distintos niveles de habilidad técnica para una fase piloto. Esto te permitirá identificar qué dudas surgen y qué procesos fallan. Explica a la plantilla por qué se hace este cambio, cómo les protege y ofréceles manuales visuales muy sencillos. La resistencia al cambio suele venir del miedo a no saber usar la nueva herramienta, no de la herramienta en sí.

Errores habituales

Implementar MFA parece sencillo sobre el papel, pero en la práctica las empresas tropiezan casi siempre en las mismas piedras.

No tener un plan para el móvil perdido. Es lunes a las 8:00 de la mañana y el director financiero ha perdido su móvil durante el fin de semana. Si no tienes un procedimiento de emergencia documentado, el soporte técnico acabará desactivando el MFA temporalmente para que pueda trabajar. Ese parche temporal suele convertirse en definitivo.

Dejar métodos de recuperación débiles. De poco sirve obligar a usar una llave física FIDO2 si el usuario puede hacer clic en recuperar acceso y el sistema le envía un simple enlace al correo electrónico. Los métodos de recuperación deben ser tan robustos como el método principal. La otra opción es requerir la intervención manual y verificada del equipo de soporte.

Excluir a la dirección por comodidad. El error más peligroso es eximir a gerencia porque no quieren usar la aplicación. Los directivos son precisamente los perfiles más atacados porque manejan información confidencial y tienen permisos para autorizar pagos. Si la app les resulta molesta, ofréceles passkeys vinculadas a su huella dactilar, que son 6 veces más rápidas.

Usar SMS para cuentas de administrador. Las cuentas con privilegios elevados nunca deben depender de un mensaje de texto. El riesgo de duplicado de SIM es demasiado alto para el nivel de acceso que tienen. Si no hay presupuesto para llaves físicas, usa al menos una aplicación TOTP.

Activar notificaciones push simples. Si tu plataforma de identidad permite notificaciones push, revisa la configuración hoy mismo. Si solo pide pulsar un botón de aprobar, estás expuesto a la fatiga de MFA. Fuerza la coincidencia de números para bloquear miles de ataques automatizados.

Olvidar las cuentas de servicio. Muchos escáneres o aplicaciones antiguas usan cuentas genéricas para enviar correos. Estas cuentas no pueden responder a un MFA. Debes aislarlas, restringir desde qué IPs pueden conectarse y limitar estrictamente a qué buzones tienen acceso.

Lista de comprobación

Usa esta lista para auditar el estado del MFA en tu organización:

• Auditar qué servicios críticos (nube, VPN, correo, copias de seguridad) no tienen MFA activado.
• Bloquear la autenticación heredada en el correo corporativo y servicios expuestos.
• Configurar la coincidencia de números (numbers matching) en todas las notificaciones push.
• Adquirir llaves de seguridad certificadas para los administradores de sistemas.
• Redactar y probar un procedimiento de emergencia para cuando un empleado pierde su dispositivo.
• Revisar y endurecer los métodos de recuperación de cuenta para que no debiliten la seguridad general.
• Desactivar el uso de SMS como método principal de MFA en todas las cuentas donde sea posible.
• Configurar los dispositivos móviles corporativos para que no muestren el contenido de los SMS en la pantalla de bloqueo.
• Formar a la plantilla sobre cómo registrar y utilizar passkeys en los servicios compatibles.
• Habilitar MFA en servicios financieros, redes sociales corporativas y portales de proveedores.

Preguntas frecuentes

¿MFA hace imposible que me roben la cuenta?

No. MFA reduce drásticamente el riesgo, pero no es infalible. Los ataques de phishing avanzados mediante proxy pueden robar la sesión de usuario después de que este haya introducido el código de la app. Por eso los métodos resistentes al phishing son el objetivo final para las cuentas críticas.

¿Puedo obligar a los empleados a usar su móvil personal para la app de MFA?

Es una cuestión laboral y de privacidad delicada. Muchos empleados se niegan a instalar software corporativo en sus dispositivos personales, y legalmente suelen tener razón. La alternativa más limpia y económica es proporcionarles llaves de seguridad físicas que se quedan en la oficina o en su llavero de empresa.

¿Cuánto cuesta implementar FIDO/WebAuthn frente a otros métodos?

Las aplicaciones móviles suelen estar incluidas sin coste extra en las licencias de las suites de productividad corporativa. Las llaves físicas requieren una inversión en hardware. Las passkeys, al integrarse en los dispositivos que los usuarios ya tienen, eliminan el coste del hardware, aunque requieren plataformas de gestión de identidad compatibles.

¿Por qué se sigue usando el SMS si es tan inseguro?

Principalmente por coste y compatibilidad. Implementar SMS es barato para las empresas de servicios y no requiere que el usuario instale ninguna aplicación adicional. Además, muchos sistemas heredados no soportan protocolos modernos. Sin embargo, en entornos corporativos, mantener el SMS como factor principal es asumir un riesgo innecesario.

¿Qué cambia exactamente con la nueva versión NIST SP 800-63-4?

La publicación NIST SP 800-63-3 fue reemplazada oficialmente por la versión NIST SP 800-63-4 el 1 de agosto de 2025. El principio fundamental se mantiene: los autenticadores fuera de banda deben requerir la transferencia de un secreto o presentar un secreto para que el usuario verifique su consistencia. Esto endurece las exigencias frente a interceptaciones.

¿Qué son las cuentas “rompecristales” (break-glass)?

Son cuentas de administrador global altamente seguras que se usan solo en caso de emergencia. Estas cuentas deben tener contraseñas larguísimas guardadas en una caja fuerte física. Además, deben estar monitorizadas para que salte una alarma inmediata si alguien intenta usarlas.

En resumen

• Las contraseñas ya no bastan. Con el 77 % de las brechas apoyadas en credenciales robadas, cualquier servicio expuesto a internet sin MFA es una bomba de relojería.
• No todos los MFA son iguales. Huye de los SMS siempre que puedas. Si usas aplicaciones móviles, la coincidencia de números (numbers matching) es el mínimo aceptable hoy en día.
• FIDO/WebAuthn es el objetivo. Las llaves físicas y las passkeys son los únicos métodos que resisten el phishing moderno. Empieza a planificar la transición, comenzando por tus administradores.
• La recuperación es clave. El mayor problema del MFA en el día a día no son los atacantes, sino los empleados que cambian de móvil o lo pierden. Ten un proceso claro para estos casos antes de activar nada.