Una contraseña puede ser robada mediante phishing, malware, filtraciones o reutilización en otros servicios. La autenticación multifactor añade una segunda comprobación y dificulta que una credencial expuesta sea suficiente para acceder.
Implantarla en una pequeña empresa no consiste únicamente en activarla en una cuenta. Hay que priorizar servicios, elegir métodos adecuados, preparar la recuperación y explicar al equipo cómo responder ante solicitudes inesperadas.
¿Qué es la autenticación multifactor?
La autenticación utiliza uno o varios factores: algo que el usuario sabe, algo que posee o algo que es.
Una contraseña pertenece al primer grupo. Una aplicación de autenticación o una llave física pueden demostrar posesión. Los factores biométricos se relacionan con características de la persona.
El objetivo es que el robo de un único elemento no conceda acceso directamente. INCIBE explica que, aunque un atacante consiga o adivine la contraseña, necesitaría también el segundo factor. Puede consultarse en su guía sobre autenticación de dos factores.
Empieza por las cuentas críticas
Si no es posible activar MFA en todos los servicios el mismo día, conviene priorizar aquellos que permiten controlar otros sistemas o recuperar contraseñas.
El orden inicial puede ser:
- Correo corporativo.
- Gestión del dominio.
- Panel de alojamiento.
- Cuentas administrativas de la web.
- Almacenamiento y copias de seguridad.
- Servicios financieros y facturación.
- Redes sociales de la empresa.
El correo merece especial atención porque suele utilizarse para recuperar accesos a otros servicios.
Conoce los métodos disponibles
Códigos por SMS
Son fáciles de implantar y ofrecen una capa adicional frente a usar únicamente una contraseña. Sin embargo, dependen del número telefónico y pueden sufrir riesgos relacionados con la suplantación o la interceptación.
Aplicaciones de autenticación
Generan códigos temporales y no suelen depender de recibir cobertura móvil en cada inicio. Es importante conservar la configuración o los códigos de recuperación si se cambia de dispositivo.
Notificaciones de aprobación
El usuario recibe una solicitud y aprueba o rechaza el acceso. Son cómodas, pero el equipo debe aprender a rechazar solicitudes que no haya iniciado.
Llaves de seguridad y métodos resistentes al phishing
Las llaves físicas y tecnologías como FIDO2 pueden ofrecer una protección superior frente a determinados ataques de suplantación. INCIBE recomienda, cuando sea posible, utilizar factores resistentes al phishing para accesos remotos y servicios corporativos críticos.
La elección depende del riesgo, compatibilidad, presupuesto y capacidad de soporte.
Evita la fatiga de aprobación
Un atacante que conoce la contraseña puede generar repetidas solicitudes de aprobación esperando que el usuario acepte una por error o cansancio.
El procedimiento debe ser claro: si una persona recibe una solicitud que no ha iniciado, debe rechazarla y comunicarlo. También debe cambiar su contraseña y revisar la actividad de la cuenta siguiendo las indicaciones internas.
Aprobar para “hacer desaparecer el aviso” puede conceder acceso al atacante.
Prepara la recuperación antes de activarla
La empresa debe poder recuperar el acceso si un teléfono se pierde, una persona deja la organización o una llave física se daña.
Los códigos de recuperación deben guardarse en un lugar protegido y separado del dispositivo principal. No conviene almacenarlos junto a la contraseña en un documento sin protección.
También puede configurarse más de un método cuando el servicio lo permita, por ejemplo una llave principal y otra de respaldo bajo custodia.
No dependas de un teléfono personal sin acordarlo
Antes de utilizar dispositivos particulares como segundo factor, la empresa debería definir cómo se gestionarán la privacidad, la sustitución y la salida del empleado.
En cuentas compartidas o críticas, es preferible utilizar métodos administrados por la organización. El acceso no debería depender indefinidamente del número personal de alguien que puede cambiar de puesto o dejar la empresa.
Documenta quién controla cada cuenta
El inventario debería indicar:
- Servicio protegido.
- Propietario o responsable.
- Método MFA configurado.
- Ubicación del método de respaldo.
- Proceso de recuperación.
- Fecha de la última revisión.
No deben anotarse códigos ni contraseñas directamente en un inventario accesible sin protección.
Forma al equipo con ejemplos reales
La formación debería explicar qué verá el usuario y cómo debe actuar. Una demostración práctica suele ser más útil que una política abstracta.
El equipo necesita saber:
- Cómo registrar el segundo factor.
- Cómo identificar una solicitud legítima.
- Qué hacer si pierde el dispositivo.
- A quién avisar ante una aprobación no solicitada.
- Por qué no debe compartir códigos.
Revisa la implantación periódicamente
Activar MFA no es el final. Las cuentas nuevas deben incorporarse al proceso y las antiguas deben retirarse.
También conviene comprobar que no existan métodos de recuperación débiles que permitan evitar el segundo factor. Los accesos de emergencia deben estar controlados, registrados y protegidos.
MFA no sustituye otras medidas
La autenticación multifactor reduce el riesgo, pero debe combinarse con contraseñas únicas, gestores de contraseñas, actualización de sistemas y revisión de accesos.
Una sesión ya iniciada, un equipo infectado o permisos excesivos pueden seguir planteando problemas. La seguridad depende de varias capas.
Conclusión
La autenticación multifactor es una de las medidas más útiles para proteger cuentas empresariales, especialmente correo, dominio, alojamiento y administración web.
Una implantación eficaz prioriza los servicios críticos, prepara la recuperación y enseña a rechazar solicitudes inesperadas.
