Puntos clave
- La MFA pide un segundo factor además de la contraseña, así una contraseña robada ya no basta para entrar a tus sistemas.
- Microsoft reporta que la MFA puede bloquear el 99.9% de los ataques de robo de cuenta, por eso es el control más barato con mayor retorno.
- Las llaves de seguridad y las apps autenticadoras resisten mejor el phishing que los códigos por SMS.
- El error más común es dejar fuera de la MFA a las cuentas de administrador y a los accesos externos, que son el premio mayor.
- El 95% de la seguridad está en la prevención, y activar la MFA es la primera pieza de esa prevención.
Si alguien te roba la contraseña hoy mismo, la autenticación multifactor es lo que evita que entre a tus sistemas. Eso es, en una sola frase, lo que hace la MFA: aunque la contraseña caiga en malas manos, al atacante todavía le falta un segundo factor que no tiene. Por eso la autenticación multifactor para empresas dejó de ser un lujo de las corporaciones grandes y se volvió el control más básico que cualquier negocio en México debería tener prendido.
Les platico por qué insisto tanto. En RealNet llevamos desde 1993 acompañando empresas, y en temas de ciberseguridad desde 1997. Hemos atendido entre 2 a 4 empresas por semana con problemas de seguridad, y la historia se repite: alguien entró con una contraseña que no era suya. No hackeos de película, no genios encapuchados. Una contraseña filtrada, reutilizada o robada por un correo de phishing. Gran problema;(
Nuestra filosofía es clara y la repetimos como mantra: no hay nada 100% seguro. Quien les diga que les garantiza un 100% de seguridad, que se los firme con sangre. Pero el 95% de la seguridad recae en la prevención, y la MFA es una de las piezas más baratas y poderosas de ese 95%.
Qué es la MFA y por qué es esencial
La MFA, autenticación multifactor, es pedir dos o más pruebas distintas de que eres quien dices ser antes de dejarte entrar. La contraseña es una prueba. La MFA agrega una segunda, por ejemplo un código en tu celular o la huella de tu dedo.
Piénsenlo como su casa. La contraseña es la llave de la puerta. ¿Y si alguien copia esa llave? Pues entra sin problema. La MFA es como poner una segunda cerradura que solo abre con algo que únicamente tú traes en la bolsa. Aunque te copien la primera llave, la puerta sigue cerrada.
¿Por qué es esencial? Porque las contraseñas, solitas, ya no aguantan. La gente reutiliza la misma clave en diez sitios, la anota en un papelito, o se la entrega sin querer a una página falsa. Microsoft publicó que una acción tan simple como activar la MFA puede prevenir el 99.9% de los ataques a las cuentas. Noventa y nueve punto nueve por ciento. Es de los pocos controles donde el esfuerzo es mínimo y el beneficio es enorme.
Y no es un tema técnico lejano. Hemos visto empresas que de un día para otro se fueron a la era de casi piedra porque alguien entró a su correo con una contraseña robada, cambió los datos bancarios de una factura y se llevó un pago completo. A los empresarios nos cuesta mucho hacer una empresa. Perderla por no haber prendido un switch de seguridad gratuito duele de verdad.
Tipos de factores y métodos disponibles
Un factor de autenticación cae en una de tres categorías. Vale la pena conocerlas porque no todos los métodos protegen igual.
1.- Algo que sabes. Tu contraseña o un PIN. Es el factor más común y, también, el más fácil de robar.
2.- Algo que tienes. Tu celular con una app autenticadora, un token físico o una llave de seguridad USB. El atacante tendría que robarte el objeto, no solo adivinar una clave.
3.- Algo que eres. Tu huella digital, tu rostro o tu voz. Lo biométrico. Difícil de copiar, cómodo para el usuario.
La MFA combina al menos dos de estas categorías. Entre los métodos más usados en empresas están:
- App autenticadora (como Microsoft Authenticator o Google Authenticator): genera un código que cambia cada 30 segundos, o te manda una notificación para aprobar el ingreso. Buen equilibrio entre seguridad y comodidad.
- Llave de seguridad física: un dispositivo que conectas o acercas. Es de lo más resistente al phishing que existe, porque la llave verifica que estés en el sitio real y no en una copia falsa.
- Biometría: huella o rostro, muy cómoda en laptops y celulares corporativos.
- Código por SMS: te llega un mensaje de texto. Funciona, es mejor que nada, pero es el factor más débil. Un atacante puede interceptar el mensaje o clonar tu número con un truco llamado SIM swapping.
Nuestra sugerencia práctica: si puedes elegir, prioriza la app autenticadora o la llave física por encima del SMS. El estándar de identidad digital del gobierno de Estados Unidos, NIST SP 800-63B, ya recomienda evitar depender del SMS como único segundo factor justo por esta debilidad.
Cómo implementar MFA sin fricción
Aquí es donde muchos proyectos se tropiezan. La MFA mal puesta genera quejas, llamadas a soporte y, lo peor, empleados que buscan cómo saltársela. Implementar MFA bien es tanto técnica como psicología. Les comparto el camino que nos ha funcionado:
1.- Empieza por las cuentas de mayor riesgo. Administradores de sistemas, finanzas, dirección y cualquiera con acceso al correo o a los servidores. Son el premio mayor para un atacante. Protégelas primero.
2.- Usa notificaciones push en vez de teclear códigos. Aprobar con un toque en el celular es mucho menos molesto que copiar seis dígitos. Menos fricción significa menos resistencia del usuario.
3.- Activa el acceso condicional. Es decir, no pidas el segundo factor cada cinco minutos desde la computadora de siempre. Pídelo cuando algo cambia: un dispositivo nuevo, una ubicación rara, un horario inusual. Así la MFA molesta poco y aparece cuando de verdad importa.
4.- Capacita antes de encender. Explica a la gente qué va a pasar, por qué, y qué hacer si pierde el teléfono. Una semana de avisos evita cien llamadas enojadas el día del despliegue.
5.- Configura métodos de respaldo desde el inicio. Códigos de recuperación guardados en un lugar seguro, un segundo dispositivo registrado. Porque los teléfonos se pierden, se mojan y se olvidan en el taxi.
Si tu empresa ya usa Microsoft 365, Google Workspace o una plataforma similar, la MFA probablemente ya está incluida en tu licencia. No necesitas comprar nada nuevo, solo configurarla bien. Ese "configurarla bien" es donde entra el acompañamiento: en RealNet ayudamos a desplegarla por etapas para que la gente no sienta que le pusieron una traba, sino un cinturón de seguridad.
Errores comunes al desplegar MFA
He visto los mismos tropiezos una y otra vez. Te los comparto para que no caigas en ellos:
- Dejar fuera a las cuentas de administrador. Suena increíble, pero pasa. Se protege al personal general y se olvida al administrador, que es justo la cuenta más codiciada. Es como ponerle candado a todas las ventanas y dejar la puerta principal abierta.
- Proteger el acceso interno y olvidar el externo. El VPN, el acceso remoto, los portales que miran hacia internet. Ahí es donde tocan la puerta los atacantes, y ahí la MFA es más necesaria todavía.
- Confiar solo en el SMS. Ya lo dijimos: mejor que nada, pero vulnerable. Si es tu único método, ten un plan para migrar a algo más fuerte.
- No tener plan de recuperación. Si no configuraste cómo recupera el acceso alguien que perdió su teléfono, el día que pase vas a tener a medio equipo parado y a alguien tentado a apagar la MFA "mientras tanto". Y ese "mientras tanto" es por donde entra el problema.
- Encenderla de golpe para toda la empresa. El despliegue en fases evita el caos. Primero un grupo piloto, aprendes, ajustas, y luego el resto.
Tapar el pozo después del niño ahogado es el patrón que más lamentamos ver. Empresas que prendieron la MFA el lunes siguiente a que ya les habían vaciado el correo. La MFA es prevención, y la prevención solo sirve cuando llega antes.
MFA como control crítico contra accesos robados
El problema de fondo es el robo de credenciales. Año con año, los reportes de la industria coinciden en que una enorme proporción de las brechas empieza con una contraseña que no debió estar en manos de quien entró. El atacante no "rompe" nada: simplemente usa una llave que consiguió, por phishing, por una filtración de otro sitio, o porque el usuario repitió la misma contraseña en todos lados.
Ahí la MFA es el muro. Aunque el atacante tenga la contraseña correcta, se queda parado frente al segundo factor que no posee. Convierte una credencial robada en un pedazo de papel inservible. Por eso la llamo el control crítico: ataca directamente el camino de entrada más usado.
Ahora bien, la MFA no es una varita mágica, y nunca hemos prometido seguridad absoluta. Es una capa. Funciona mejor acompañada de otras: monitoreo que detecte lo raro, respaldos que te salven si algo pasa, y un equipo que vigile. Para eso están servicios como MDRGuru, que detecta y responde a amenazas en tiempo real; SensorGuru, que coloca señuelos (decoys) para cazar al intruso que ya anda adentro; y MailGuru, que blinda el correo, que sigue siendo la puerta número uno del robo de credenciales. Si quieres entender cómo encaja la detección gestionada en todo esto, te recomiendo leer qué es MDR y por qué tu empresa lo necesita.
La MFA es el candado. MDRGuru y SensorGuru son la cámara y el guardia que vigilan toda la casa. Juntos forman ese 95% de prevención del que tanto hablamos.
El siguiente paso concreto
No cierres esta ventana sin hacer una cosa: entra hoy mismo al panel de administración de tu correo empresarial y revisa si la MFA está activada para las cuentas de dirección, finanzas y administración de sistemas. Si no lo está, agéndalo esta semana. Es gratis en la mayoría de las plataformas y es la media hora de configuración con mayor retorno que vas a invertir en seguridad este año.
En RealNet llevamos desde 1993 ayudando a empresas en México y Latinoamérica a prevenir antes de lamentar. Si quieres que te acompañemos a desplegar la MFA sin fricción, a capacitar a tu gente y a cubrir los huecos que nadie suele ver, acércate a nosotros en realnet.com.mx. Recuerda: no hay nada 100% seguro, pero el 95% está en la prevención, y ese 95% podemos construirlo contigo.
Una relación de seguridad solo funciona cuando los dos tienen la misma intención: crecer juntos.
#ciberseguridad #MFA #PYME #prevención #autenticaciónmultifactor
Preguntas frecuentes
¿La autenticación multifactor para empresas es cara de implementar?
No. La mayoría de las plataformas que ya usa tu empresa, como Microsoft 365 o Google Workspace, incluyen MFA sin costo adicional. El gasto real está en el acompañamiento y la capacitación, no en la licencia.
¿El SMS sirve como segundo factor o es inseguro?
El SMS es mejor que no tener nada, pero es el factor más débil porque un atacante puede interceptarlo o clonar la línea. Si puedes, usa una app autenticadora o una llave física.
¿Qué pasa si un empleado pierde su teléfono con la app de MFA?
Por eso se configuran métodos de respaldo y códigos de recuperación antes de que ocurra. Un buen despliegue de MFA siempre contempla cómo recuperar el acceso de forma segura.
¿La MFA me protege del ransomware?
No por sí sola, pero cierra una de las puertas favoritas del ransomware: el acceso con credenciales robadas. Es una capa dentro de una estrategia de prevención más amplia.
