Autenticación multifactor para empresas: cómo elegirla e implementarla
La MFA bloquea la mayoría de los ataques basados en contraseñas. Conozca los métodos más fuertes, dónde activarla primero y cómo implementarla sin interrumpir.
La autenticación multifactor (MFA) exige una segunda prueba de identidad, como la aprobación en una aplicación, un código de un solo uso o una llave de seguridad, además de la contraseña. Para una empresa, es uno de los controles de seguridad de mayor impacto, porque detiene a los atacantes que han robado o adivinado una contraseña. El mejor enfoque es activarla primero en el correo, el acceso remoto y las cuentas de administrador, preferir métodos resistentes al phishing como passkeys o llaves físicas cuando sea posible, e implementarla por etapas con instrucciones claras y un proceso de recuperación.
Por qué las contraseñas por sí solas no bastan
Las contraseñas se reutilizan en varios sitios, se capturan en páginas de phishing y quedan expuestas en filtraciones de datos de terceros. Cuando un atacante tiene una contraseña válida de una cuenta de correo en la nube, puede leer mensajes, enviar correos convincentes a sus clientes y restablecer contraseñas de otros servicios. La MFA rompe esa cadena: la contraseña por sí sola ya no es suficiente.
Comparación de métodos de MFA
No todos los segundos factores son iguales. Así se comparan las opciones comunes para una pequeña o mediana empresa típica:
| Método | Resistencia al phishing | Facilidad de uso | Notas |
|---|---|---|---|
| Llave de seguridad física (FIDO2) | Alta | Alta una vez configurada | Ideal para administradores y personal de finanzas |
| Passkeys (en el dispositivo o sincronizadas) | Alta | Alta | Compatibles con Microsoft, Google y Apple |
| App autenticadora con coincidencia de números | Moderada a buena | Alta | Una opción predeterminada sólida para la mayoría |
| Código de un solo uso en app (TOTP) | Moderada | Moderada | Funciona sin conexión; aún puede ser víctima de phishing |
| Código por SMS o llamada | Baja | Alta | Mejor que nada; vulnerable al cambio fraudulento de SIM |
Los métodos resistentes al phishing, como las llaves FIDO2 y las passkeys, están vinculados al sitio web real, por lo que una página de acceso falsa no puede capturar una credencial utilizable. Para muchas organizaciones, un punto de partida práctico es una app autenticadora con coincidencia de números para todos, más llaves de seguridad o passkeys para los administradores y quienes aprueban pagos.
Dónde activar MFA primero
Dé prioridad a las cuentas que causarían más daño si se comprometen:
- Correo (Microsoft 365, Google Workspace o correo alojado)
- Acceso remoto (VPN, gateways de escritorio remoto, herramientas de soporte remoto)
- Cuentas de administrador de servidores, firewalls, registradores de dominio, DNS y consolas en la nube
- Sistemas financieros como banca en línea, nómina y contabilidad
- Aplicaciones de negocio como software de gestión de consultorios, CRM y archivos compartidos
No olvide su registrador de dominio y su proveedor de DNS. Controlar esas cuentas significa controlar su correo y su sitio web.
Cómo implementarla sin interrupciones
Planifique
Haga un inventario de sus sistemas y decida qué método usará cada grupo. Identifique las cuentas compartidas, ya que la MFA funciona mejor cuando cada persona tiene su propio acceso. Los buzones compartidos en Microsoft 365, por ejemplo, se pueden usar mediante delegación en lugar de una contraseña compartida.
Comunique
Explique al personal qué cambia, por qué y cuándo. Una guía de una página con capturas de pantalla en español e inglés reduce considerablemente las solicitudes de soporte.
Inscriba por etapas
Empiece con TI y la gerencia, y luego avance por departamento. Dé a las personas un plazo corto para registrarse antes de que la política sea obligatoria.
Haga cumplir con políticas
En Microsoft 365, los valores predeterminados de seguridad (Security Defaults) ofrecen una base, mientras que el Acceso Condicional (disponible con licencias Entra ID P1, incluidas en planes como Microsoft 365 Business Premium) permite exigir MFA según el usuario, la ubicación, el cumplimiento del dispositivo y el riesgo. Google Workspace permite a los administradores exigir la verificación en dos pasos y requerir llaves de seguridad para grupos específicos. Si administra dispositivos con Microsoft Intune, el cumplimiento del dispositivo puede formar parte de la decisión de acceso.
Prevea la pérdida de dispositivos
Decida de antemano cómo recupera el acceso alguien que pierde su teléfono. Registrar dos métodos por persona, como una app y una llave de seguridad, y contar con un proceso de restablecimiento verificado evita tanto los bloqueos como la ingeniería social.
Errores comunes que conviene evitar
- Dejar activos los protocolos de autenticación heredados, que pueden saltarse la MFA
- Excluir a ejecutivos o cuentas "VIP" de las políticas de MFA
- Permitir que cualquiera que llame a soporte restablezca la MFA sin verificar su identidad
- Acostumbrar a los usuarios a aprobar todas las solicitudes, lo que facilita los ataques de fatiga de MFA
- Olvidar las cuentas de administrador de emergencia, que deben protegerse y monitorearse con cuidado
Nuestros servicios de ciberseguridad incluyen el diseño y la aplicación de MFA, y nuestro servicio de correo empresarial cubre la configuración de seguridad de Microsoft 365 y Google Workspace.
Preguntas frecuentes
¿La MFA hará más lento a mi equipo?
Muy poco. La mayoría de las plataformas recuerdan los dispositivos de confianza, y los métodos modernos como la coincidencia de números o las passkeys toman unos segundos. El mayor costo de tiempo viene de recuperarse después de que una cuenta es comprometida.
¿Todavía vale la pena usar MFA por SMS?
Es mejor que solo una contraseña, pero es la opción común más débil debido al cambio fraudulento de SIM y a la interceptación. Migre a los usuarios a una app autenticadora o a passkeys cuando pueda.
¿Qué pasa con los empleados que no quieren una app en su teléfono personal?
Las llaves de seguridad físicas son una buena alternativa. No requieren un dispositivo personal, ni batería, ni número de teléfono.
Siguiente paso
Max, nuestro fundador, tiene más de 20 años de experiencia en TI y cuenta con la certificación CompTIA Security+. Si no está seguro de qué cuentas de su empresa están protegidas, solicite una evaluación de TI gratuita y mapearemos su cobertura de MFA y le recomendaremos un plan de implementación.
