Un correo aparentemente legítimo, una contraseña reutilizada o una sesión abierta en un equipo no supervisado pueden ser suficientes para comprometer una cuenta corporativa. Cuando esa cuenta pertenece a dirección, finanzas, ventas o TI, el impacto no se limita al buzón: puede afectar pagos, datos de clientes, accesos a aplicaciones críticas y la continuidad operativa. Entender qué es autenticación multifactor permite reducir ese riesgo con una medida concreta y medible.
Qué es autenticación multifactor
La autenticación multifactor, también conocida como MFA por sus siglas en inglés, es un método de acceso que exige al usuario demostrar su identidad con al menos dos elementos distintos. No basta con conocer una contraseña. El sistema solicita una segunda prueba, como aprobar una notificación en el móvil, introducir un código temporal, utilizar una llave física de seguridad o validar la identidad mediante biometría.
Los factores se agrupan habitualmente en tres categorías: algo que el usuario sabe, como una contraseña o PIN; algo que posee, como un teléfono, una aplicación autenticadora o una llave FIDO2; y algo que es, como la huella dactilar o el reconocimiento facial. Combinar factores de categorías distintas es lo que aporta protección real.
La diferencia parece sencilla, pero tiene una implicación relevante para la empresa. Una contraseña puede filtrarse, adivinarse, reutilizarse o ser capturada en una campaña de phishing. Con MFA, quien roba esa contraseña aún necesita superar una segunda barrera. No elimina todos los escenarios de ataque, pero reduce de forma significativa la utilidad de unas credenciales comprometidas.
Por qué una contraseña ya no protege por sí sola
Las contraseñas siguen siendo necesarias en muchos entornos, pero no pueden ser el único control de acceso. Los delincuentes no necesitan vulnerar directamente los sistemas de una empresa para obtenerlas. Pueden recurrir a páginas de inicio de sesión falsas, filtraciones de terceros, ataques de fuerza bruta, malware o técnicas de ingeniería social.
También existe un problema operativo frecuente: la reutilización. Un empleado utiliza la misma contraseña, o una variación previsible, para una herramienta corporativa y un servicio personal que sufre una brecha. Esa credencial puede probarse de forma automática en Microsoft 365, VPN, CRM, almacenamiento en la nube o aplicaciones financieras. Este método, conocido como credential stuffing, aprovecha precisamente que muchas personas repiten contraseñas.
Para dirección, el riesgo no es técnico en abstracto. Un acceso indebido puede derivar en fraude por suplantación de proveedores, extracción de bases de datos, envío de correos maliciosos desde una cuenta confiable o cifrado de información tras una intrusión de ransomware. La MFA añade fricción al atacante sin obligar a la organización a rediseñar por completo su forma de trabajar.
Cómo funciona la autenticación multifactor en una empresa
Tras introducir usuario y contraseña, el sistema solicita una validación adicional. En una aplicación autenticadora, el empleado puede aprobar una notificación o escribir un código que cambia cada pocos segundos. Con una llave física, conecta o acerca el dispositivo y confirma su presencia. Con biometría, el dispositivo valida la huella o el rostro para autorizar la acción.
No todos los métodos ofrecen el mismo nivel de seguridad. Los códigos por SMS mejoran sustancialmente el acceso basado solo en contraseña, pero pueden verse afectados por fraude de duplicación de SIM, robo del teléfono o campañas que engañan al usuario para compartir el código. Por ello, en cuentas con privilegios elevados o acceso a información sensible conviene priorizar aplicaciones autenticadoras con coincidencia de números, llaves FIDO2 o passkeys.
Las passkeys merecen especial atención. Sustituyen o reducen la dependencia de contraseñas mediante credenciales criptográficas vinculadas al dispositivo y al sitio legítimo. Como no se basan en un código reutilizable, ofrecen una defensa especialmente eficaz frente a páginas de phishing que imitan un portal de acceso. Su adopción dependerá de la compatibilidad de las aplicaciones y de la madurez del entorno, pero deben formar parte de la planificación de seguridad.
Dónde debe aplicarse primero
Una política de MFA aporta más valor cuando se activa sobre los activos que pueden detener la operación o facilitar un fraude. El error habitual es desplegarla de forma parcial, solo en el correo electrónico, mientras permanecen expuestos accesos remotos, consolas de administración, plataformas cloud o aplicaciones de negocio.
La prioridad inicial suele incluir cuentas de administradores, dirección, finanzas, recursos humanos y personal de TI. A continuación, conviene cubrir correo corporativo, VPN, escritorios remotos, Microsoft 365, CRM, repositorios de archivos, sistemas de copias de seguridad y herramientas de gestión de endpoints. En empresas con varios centros, teletrabajo o proveedores externos, también es esencial revisar las cuentas de terceros y limitar sus permisos al mínimo necesario.
La MFA no sustituye otros controles. Si un atacante consigue que un usuario apruebe una notificación fraudulenta, o secuestra una sesión ya autenticada, el segundo factor puede no ser suficiente. Por eso debe acompañarse de protección de correo contra phishing, EDR o MDR en endpoints, gestión de parches, segmentación de red, copias de seguridad cifradas y monitorización de accesos anómalos.
Implantar MFA sin bloquear la operación
La resistencia al cambio suele aparecer cuando se presenta la MFA como una obligación aislada. El enfoque correcto es tratarla como un proyecto de continuidad operativa: identificar qué accesos son críticos, definir grupos de usuarios, seleccionar el método adecuado y prever qué ocurrirá si una persona pierde el teléfono o cambia de dispositivo.
Antes de activar políticas globales, es recomendable elaborar un inventario de aplicaciones, cuentas administrativas, accesos remotos y usuarios con privilegios. Esta revisión permite localizar sistemas antiguos que no soportan autenticación moderna, cuentas compartidas o procesos automatizados que dependen de credenciales. Ignorar estas excepciones puede provocar interrupciones evitables.
El despliegue debe realizarse por fases. Primero se protege a los administradores y un grupo piloto representativo. Después se valida la experiencia de acceso, la compatibilidad de las aplicaciones y el proceso de recuperación. Una vez resueltas las incidencias, se extiende al resto de la plantilla con comunicaciones claras y plazos definidos.
También es necesario establecer un procedimiento de soporte. ¿Quién verifica la identidad de un empleado que cambia de móvil? ¿Cómo se entregan códigos de recuperación? ¿Qué ocurre si un directivo está de viaje y no puede acceder? Estas situaciones no son excepciones menores: determinan si la medida se percibe como protección útil o como una barrera que los usuarios intentarán sortear.
Políticas que elevan el nivel de protección
La autenticación multifactor funciona mejor cuando se combina con políticas de acceso condicional. Por ejemplo, una organización puede exigir un método resistente al phishing para administradores, bloquear accesos desde ubicaciones inusuales, solicitar una validación adicional ante un dispositivo no gestionado o impedir el inicio de sesión cuando se detecta un riesgo elevado.
No se trata de dificultar cada acceso sin criterio. Un comercial que trabaja desde distintas ubicaciones y un administrador que gestiona infraestructura crítica no tienen el mismo perfil de riesgo. Las políticas deben considerar función, nivel de privilegio, estado del dispositivo, ubicación y sensibilidad de la aplicación. Esa proporcionalidad reduce fricción innecesaria y concentra el control donde más importa.
La revisión continua es igual de importante. Las cuentas de empleados que han salido de la empresa deben desactivarse con rapidez; los privilegios temporales deben caducar; y los informes de acceso deben revisarse para detectar intentos fallidos, aprobaciones inusuales o inicios de sesión desde ubicaciones imposibles. La MFA genera señales valiosas, pero solo sirven si alguien las convierte en decisiones y acciones.
El papel de las personas en la seguridad de acceso
Ninguna tecnología compensa por completo una decisión tomada bajo presión. Las campañas actuales pueden imitar páginas de acceso, llamar por teléfono en nombre del soporte técnico o enviar repetidas notificaciones hasta que el usuario aprueba una por cansancio. Formar a la plantilla para reconocer estas tácticas es parte de la protección.
La regla debe ser simple: nadie debe aprobar una solicitud MFA que no haya iniciado personalmente. Si recibe un código o una notificación inesperada, debe reportarlo, cambiar la contraseña si procede y permitir que TI revise la actividad. Una respuesta rápida puede frenar un intento de intrusión antes de que alcance sistemas críticos.
Para organizaciones que no disponen de un equipo interno dedicado, contar con acompañamiento especializado facilita el diagnóstico, la configuración y el seguimiento. RealNet aborda este tipo de controles desde la operación real de cada cliente: qué cuentas son críticas, qué accesos no pueden fallar y qué evidencia necesita dirección para comprobar que el riesgo está bajo control.
La mejor autenticación multifactor no es la que acumula más pasos, sino la que protege los accesos críticos, encaja en la jornada de trabajo y cuenta con un plan claro para las incidencias. Empezar por las cuentas con mayor privilegio es una decisión práctica que puede evitar que una contraseña robada se convierta en una crisis de negocio.
