Activar la autenticación multifactor (MFA) reduce el riesgo de accesos no autorizados, pero no garantiza por sí sola que una cuenta esté protegida frente a todos los ataques. La seguridad depende también del método utilizado, de cómo se aplican las políticas de acceso y de cómo se gestionan las cuentas y su recuperación.
Una empresa puede tener MFA activada y seguir expuesta a técnicas como el phishing que captura sesiones, la fatiga MFA o los métodos de verificación más vulnerables. Por eso, la pregunta no es solo si la organización utiliza MFA, sino si la ha configurado de acuerdo con sus riesgos.
¿Cómo pueden los atacantes superar la MFA?
La autenticación multifactor añade una comprobación adicional a la contraseña, pero existen ataques que intentan engañar al usuario, interceptar códigos o aprovechar configuraciones débiles.
Entre los riesgos principales están:
- Phishing: algunas páginas fraudulentas pueden engañar al usuario para que entregue sus credenciales y códigos de verificación.
- Fatiga MFA o MFA bombing: el atacante genera repetidas solicitudes de aprobación esperando que el usuario acepte alguna por error o cansancio.
- Métodos vulnerables: los códigos por SMS y otros mecanismos basados en códigos pueden estar expuestos a determinadas técnicas de interceptación o suplantación.
- Robo de sesiones: una sesión autenticada puede ser comprometida en ciertos escenarios, aunque MFA se haya completado correctamente.
- Recuperación débil de cuentas: los procedimientos alternativos para recuperar el acceso pueden convertirse en un punto débil si no verifican adecuadamente la identidad.
Estos riesgos no significan que MFA sea inútil. Significan que su eficacia depende de la fortaleza del método, la configuración y los controles complementarios.
¿Qué métodos de MFA ofrecen mayor protección?
No todos los métodos de autenticación multifactor resisten los mismos ataques. La elección debe considerar el nivel de riesgo, los dispositivos disponibles y los requisitos operativos de la empresa.
- SMS y llamadas: son fáciles de adoptar, pero ofrecen menos resistencia frente a ataques que comprometen o redirigen el canal telefónico.
- Códigos temporales (TOTP): generados por una aplicación autenticadora, reducen la dependencia de los SMS, aunque pueden ser capturados mediante determinadas técnicas de phishing.
- Notificaciones push: simplifican el inicio de sesión, pero deben configurarse con controles como la coincidencia de números cuando estén disponibles, para reducir las aprobaciones accidentales.
- Passkeys y FIDO2: utilizan credenciales criptográficas diseñadas para resistir el phishing, por lo que son una opción especialmente sólida para cuentas y accesos de mayor riesgo.
La recomendación es priorizar métodos resistentes al phishing cuando sea viable, especialmente para administradores y cuentas con privilegios elevados. La compatibilidad de las aplicaciones, los dispositivos y los procesos de recuperación debe evaluarse antes de desplegarlos de forma generalizada.
La solución de autenticación multifactor de JumpCloud permite trabajar con distintos factores de autenticación, estándares como WebAuthn y FIDO2, y políticas de acceso adaptativas.
¿Qué cuentas y accesos debe proteger primero una empresa?
La implantación debe priorizar los accesos cuyo compromiso tendría mayor impacto sobre el negocio. Activar MFA únicamente en el correo electrónico, por ejemplo, puede dejar sin protección otros puntos de entrada relevantes.
Como mínimo, conviene revisar:
- Cuentas administrativas: pueden permitir modificar configuraciones, crear usuarios o acceder a sistemas sensibles.
- Correo y aplicaciones SaaS: suelen concentrar información corporativa y facilitar el acceso a otros servicios.
- VPN y accesos remotos: conectan usuarios y equipos con recursos internos.
- Servidores y dispositivos corporativos: deben protegerse según sus capacidades y los mecanismos de autenticación disponibles.
- Cuentas de terceros: proveedores y colaboradores externos necesitan accesos controlados y acordes con sus funciones.
También es importante revisar las excepciones. Las cuentas excluidas de MFA, los métodos alternativos y las cuentas de emergencia deben estar documentados y protegidos mediante controles adecuados.
¿Cómo integrar MFA con la gestión de identidades?
MFA funciona mejor como parte de una estrategia de gestión de identidades y accesos. No basta con verificar a una persona al iniciar sesión: también hay que controlar qué puede hacer, desde qué dispositivos y durante cuánto tiempo debe conservar sus permisos.
Una política de acceso sólida combina:
- Mínimo privilegio: cada usuario recibe solo los permisos necesarios para su función.
- Acceso contextual: se aplican controles adicionales según el riesgo, el dispositivo o las condiciones de conexión, cuando la plataforma lo permite.
- Ciclo de vida de identidad: los permisos se actualizan cuando una persona cambia de puesto y se revocan al abandonar la organización.
- Revisión de excepciones: se identifican cuentas que no cumplen las políticas o que utilizan métodos menos seguros.
- Registro y supervisión: se revisan eventos de autenticación y se investigan comportamientos sospechosos.
Este enfoque puede apoyarse en un servicio de gestión de identidades y accesos (IAM), que ayuda a centralizar usuarios, permisos y políticas. También se relaciona con los principios de Zero Trust, que exigen verificar el acceso de acuerdo con el contexto en lugar de confiar únicamente en la ubicación de la conexión.
La gestión debe abarcar todo el ciclo de vida de las identidades: desde el alta de un usuario hasta los cambios de permisos y la baja. De esta forma, la autenticación no queda aislada de la administración diaria de los accesos.
¿Cómo comprobar si la MFA está bien implementada?
Una revisión práctica debe ir más allá de comprobar si el botón de MFA está activado. El equipo de TI debería verificar tanto la cobertura como la calidad de la configuración.
Utilice esta lista como punto de partida:
- MFA está exigida en las cuentas y aplicaciones prioritarias.
- Las cuentas administrativas utilizan métodos de autenticación robustos.
- Se han evaluado métodos resistentes al phishing para los accesos de mayor riesgo.
- Las notificaciones push tienen protecciones contra aprobaciones accidentales cuando están disponibles.
- Las excepciones y cuentas de emergencia están documentadas.
- Los procedimientos de recuperación de cuentas verifican adecuadamente la identidad.
- Los accesos de terceros y las cuentas inactivas se revisan periódicamente.
- Se supervisan los intentos de autenticación sospechosos y los incumplimientos de las políticas.
Entre las métricas útiles están la proporción de cuentas prioritarias protegidas, la cobertura de los métodos más robustos, el número de excepciones y los incidentes relacionados con accesos. Estas métricas ayudan a identificar brechas y a establecer prioridades de mejora.
La autenticación multifactor es un control esencial, pero su eficacia depende de cómo se despliega, administra y revisa. Sinfopac ayuda a las organizaciones a reforzar la seguridad de sus accesos mediante soluciones de JumpCloud y servicios de gestión de identidades, adaptando las políticas de autenticación a sus usuarios, dispositivos y necesidades operativas.
{{fs-button}}