MFA (autenticación multifactor)
Inicio de sesión que pide dos o más pruebas de identidad de distinto tipo, como una contraseña y una llave o un código, para que una contraseña robada no baste.
Pronunciación
Qué es
La autenticación multifactor (MFA) pide al menos dos factores de tipos distintos para confirmar que quien entra es quien dice ser:
| Factor | Qué es | Ejemplos |
|---|---|---|
| Algo que sabes | Un secreto | Contraseña, PIN |
| Algo que tienes | Un objeto en tu poder | Teléfono con app autenticadora, llave de seguridad física, tarjeta inteligente |
| Algo que eres | Un rasgo biométrico | Huella, reconocimiento facial |
Dos contraseñas no son MFA: son dos factores del mismo tipo. La verificación en dos pasos (2FA) es el caso más común de MFA, con exactamente dos factores.
Por qué importa
La mayoría de los ataques a cuentas empiezan con una contraseña filtrada, adivinada o robada con phishing. Con MFA, esa contraseña sola ya no abre la puerta. En 2019 Microsoft reportó que la MFA puede bloquear más del 99,9 % de los ataques de compromiso de cuentas que observaba.
No todos los segundos factores protegen igual
| Método | Nivel | Por qué |
|---|---|---|
| Código por SMS | Bajo | Se puede interceptar o desviar con un cambio fraudulento de SIM (SIM swapping). NIST lo considera un autenticador restringido |
| Código de app autenticadora (TOTP) | Medio | No viaja por la red telefónica, pero un sitio falso puede pedirlo y reutilizarlo en el momento |
| Notificación push (“¿Eres tú?”) | Medio | Vulnerable a la fatiga de MFA: el atacante envía solicitudes hasta que alguien aprueba por cansancio. Mejor con número de coincidencia |
| Llave FIDO2 / WebAuthn o passkeys | Alto | Resistente a phishing: la llave solo responde al dominio legítimo, así que un sitio falso no obtiene nada útil |
CISA recomienda la MFA resistente a phishing (FIDO2/WebAuthn o PKI) para cuentas con privilegios y sistemas críticos.
Por dónde empezar en una empresa
- Correo y cuentas en la nube (Microsoft 365, Google Workspace): son la puerta de entrada más atacada.
- Accesos remotos y VPN, y paneles de administración.
- Cuentas con privilegios: administradores, finanzas y quien aprueba pagos, con llaves físicas o passkeys.
- Proveedores con acceso a tus sistemas: exige MFA también a ellos.
- Códigos de recuperación guardados de forma segura, para no bloquear a nadie si pierde el teléfono.
Ejemplo Demo: una empresa activa MFA en el correo de toda la planta y llaves físicas solo para los 5 administradores. Un correo de phishing que robe la contraseña de un usuario ya no basta para entrar a su buzón.
Errores comunes
- ❌ Activarla solo para algunos usuarios “importantes”: el atacante entra por la cuenta sin MFA.
- ❌ Dejar el SMS como única opción para cuentas críticas.
- ❌ Aprobar notificaciones que uno no pidió. Si llega una sin haber intentado entrar, alguien tiene tu contraseña: cámbiala y avisa.
Términos relacionados
- Phishing - El ataque que la MFA resistente a phishing neutraliza
- Zero Trust - Modelo en el que cada acceso se verifica, y la MFA es una pieza central
- Ransomware - Muchos ataques empiezan con credenciales sin MFA
- JWT - Token que muchas aplicaciones emiten después de autenticar
Recursos oficiales: