La autenticación multifactor (MFA) reduce el riesgo de acceso no autorizado al pedir evidencias de identidad de al menos dos tipos distintos. Es una medida importante tanto para las cuentas personales como para las organizaciones, aunque no elimina todos los ataques.
Qué es un factor de autenticación
- Algo que sabes: una contraseña o un PIN.
- Algo que tienes: una llave de seguridad o un dispositivo que participa en la autenticación.
- Algo que eres: una característica biométrica, utilizada según el diseño del sistema.
Pedir dos contraseñas no constituye dos factores distintos. Y una llave USB de almacenamiento no equivale a una llave de seguridad diseñada para autenticación.
No todos los métodos protegen igual
Los códigos SMS, los códigos de aplicaciones y las notificaciones de aprobación pueden mejorar la protección frente al uso de una contraseña robada, pero siguen expuestos a distintos ataques. Un delincuente puede intentar engañarte para que compartas un código o apruebes una solicitud.
Cuando el servicio lo permita, prioriza métodos resistentes al phishing, como llaves de seguridad o soluciones basadas en FIDO/WebAuthn correctamente implementadas. CISA explica las diferencias y recomienda avanzar hacia MFA resistente al phishing.
Usar el teléfono personal: autenticación no es administración
Instalar una aplicación de autenticación no equivale, por sí solo, a entregar a la empresa acceso general a las fotos, mensajes o archivos del teléfono. Sin embargo, no es correcto prometer que una aplicación nunca recopila datos: hay que revisar sus permisos, la configuración y la documentación del proveedor.
También debe distinguirse la autenticación de la inscripción del dispositivo en una plataforma de administración empresarial. Si se solicita esta última, pide que te expliquen qué puede ver y controlar la organización antes de aceptarla.
Una política clara debe indicar qué información se trata, cómo se recupera el acceso y qué alternativa existe para quien no puede utilizar un teléfono personal. Las llaves de seguridad o los dispositivos corporativos pueden ser opciones, según la organización.
Cómo empezar
- Activa MFA primero en el correo principal y las cuentas con datos sensibles.
- Elige el método más sólido que admita el servicio y registra una alternativa de recuperación.
- Guarda los códigos de recuperación en un lugar seguro y separado del dispositivo principal.
- No compartas códigos ni apruebes solicitudes de acceso que no hayas iniciado.
- En una empresa, planifica la incorporación, la pérdida de dispositivos y la baja de usuarios; comprueba que las cuentas privilegiadas estén cubiertas.
La confianza del usuario se construye explicando el proceso y sus límites. Una implementación eficaz combina protección técnica, opciones de recuperación y una política comprensible.
Fuente y ampliación: CISA: implementación de MFA resistente al phishing.
Contenido revisado el 26 de octubre de 2026.
