Saltar al contenido
Life Security

Buscar en el sitio

Encuentra páginas y secciones.

Autenticación multifactor

Última actualización:

Una contraseña por sí sola está a una suposición, una filtración o una página de phishing de convertirse en propiedad de otra persona. La autenticación multifactor (MFA) añade una segunda prueba, de modo que una contraseña robada no sea suficiente. Es una de las medidas individuales más eficaces que puedes tomar para proteger una cuenta, aunque su funcionamiento no es uniforme en todos los casos. Algunos métodos detienen casi cualquier ataque masivo, mientras que otros fallan ante los trucos que más utilizan los atacantes.

Esta página explica qué es la MFA, cuánto ayuda, cómo se comparan los principales métodos y qué es lo que cada uno no puede detener. No recomienda aplicaciones o llaves específicas. Elige el método según lo que estés protegiendo, un proceso en el que el modelado de amenazas te ayuda a decidir.

Qué es la MFA, en términos sencillos

Autenticarse significa demostrar que eres tú. Existen tres tipos de prueba: algo que sabes, como una contraseña; algo que tienes, como un teléfono o una llave de seguridad; y algo que eres, como una huella dactilar. La MFA exige pruebas de al menos dos categorías diferentes. Una contraseña más un código de tu teléfono es MFA. Una contraseña más una segunda contraseña no lo es, porque ambas son cosas que sabes.

También verás los términos “autenticación de dos factores” (2FA) y “verificación en dos pasos”. En su mayoría describen lo mismo: una contraseña más una comprobación adicional.

La idea es sencilla. Una contraseña filtrada no le sirve de nada a alguien que también necesita tu teléfono. La mayoría de los ataques contra personas corrientes comienzan con una contraseña que ha sido robada, reutilizada o adivinated —aspectos que cubren las amenazas comunes—, por lo que un segundo factor corta la vía de entrada más habitual.

Cuánto ayuda

Dos grandes estudios ofrecen los mejores datos al respecto, con sus limitaciones.

Los investigadores de Microsoft estudiaron cuentas comerciales que mostraban actividad sospechosa durante varios meses en 2022. Descubrieron que la MFA reducía el riesgo de vulneración en un 99,22% en el total de la población estudiada, y en un 98,56% para aquellas cuentas cuyas credenciales ya se habían filtrado. También observaron que una aplicación de autenticación dedicada superaba a los códigos SMS, aunque ambos eran muy superiores a no usar MFA. Se trataba de cuentas de trabajo en la plataforma de un único proveedor, por lo que las cifras no se trasladan exactamente a tus cuentas personales.

El estudio de 2019 de Google, realizado junto con la Universidad de Nueva York y la Universidad de California en San Diego, analizó cuentas personales. Un código SMS enviado a un teléfono de recuperación bloqueó todos los bots automatizados, el 96% de los ataques de phishing masivo y el 76% de los ataques dirigidos. Las solicitudes de confirmación en el dispositivo bloquearon el 100%, el 99% y el 90%. Ningún usuario que dependiera exclusivamente de llaves de seguridad fue víctima de phishing dirigido durante el estudio.

El patrón es claro: cualquier segundo factor detiene la gran mayoría de los ataques masivos, y la elección del método cobra mayor importancia a medida que los atacantes se vuelven más decididos.

Los principales métodos y lo que detiene cada uno

La agencia de ciberseguridad estadounidense CISA agrupa los métodos según su capacidad para resistir los ataques observados en la práctica. Sus directrices están redactadas para organizaciones, pero su clasificación también se aplica a nivel individual.

Método Ataques masivos de contraseñas Bombardeo de notificaciones (Push bombing) Phishing Principal debilidad
Mensaje de texto o código de voz Detenidos No aplicable Vulnerable Intercambios de SIM, phishing e interceptación
Código por correo electrónico Detenidos si la bandeja de entrada está protegida No aplicable Vulnerable Tan seguro como lo esté la cuenta de correo
Notificación push sin coincidencia de números Detenidos Vulnerable Vulnerable Aprobar por accidente o por fastidio
Notificación push con coincidencia de números Detenidos Resistente Vulnerable Phishing
Código de aplicación de autenticación (TOTP) Detenidos Resistente Vulnerable Phishing; pérdida del dispositivo
Llave de seguridad o passkey (FIDO/WebAuthn) Detenidos Resistente Resistente Costo, compatibilidad y planificación de recuperación

Las valoraciones sobre los códigos por correo electrónico son de nuestra cosecha. La clasificación publicada por CISA cubre el resto de las filas.

Mensajes de texto y códigos de voz

Estos envían un código de un solo uso a tu número de teléfono. Son los más fáciles de configurar y la opción común más débil. La hoja informativa de CISA señala que los códigos por SMS y voz son vulnerables al phishing, a las debilidades de la red telefónica y a los intercambios de SIM, y recomienda considerarlos como último recurso. El NIST, el organismo de estándares de EE. UU., califica la verificación basada en SMS como un autenticador “restringido”, que se permite pero asumiendo el riesgo conscientemente. Un intercambio de SIM, en el que un estafador persuade a tu proveedor para que mueva tu número a su tarjeta SIM, hace que tus códigos se envíen a él. Las amenazas comunes explican cómo funciona.

Eso no significa que los códigos de texto sean inútiles. Las cifras de Google mostradas antes demuestran que detienen la mayoría de los ataques automatizados. Representan un gran avance frente a no tener nada, pero son una mala opción para cuentas verdaderamente importantes.

Notificaciones push

Una aplicación en tu teléfono te pide que apruebes o rechaces un inicio de sesión. Es un método cómodo, pero tiene una debilidad conocida. En el bombardeo de notificaciones (push bombing), también llamado fatiga de MFA, un atacante que ya tiene tu contraseña sigue enviando solicitudes de inicio de sesión hasta que apruebas una por error. CISA lo describe como el bombardeo a un usuario hasta que acepta por accidente o por fastidio.

La brecha de seguridad sufrida por Uber en 2022 es el caso más conocido. Según los informes, un atacante obtuvo las credenciales de un contratista, envió una avalancha de solicitudes push y luego le escribió al contratista por WhatsApp haciéndose pasar por el departamento de soporte técnico, diciéndole que las solicitudes se detendrían si aprobaba una. El contratista aprobó una. CISA recomienda la coincidencia de números (number matching), en la que debes introducir en la aplicación un número que aparece en la pantalla de inicio de sesión, lo que bloquea la aprobación a ciegas.

Códigos de aplicaciones de autenticación

Una aplicación de autenticación muestra un código de seis dígitos que cambia aproximadamente cada 30 segundos. Este es el método de Contraseña de un solo uso basada en el tiempo (TOTP), definido en un estándar de internet llamado RFC 6238. Al configurarlo, normalmente escaneando un código QR, el servicio y tu aplicación comparten un secreto. A partir de ese momento, ambos calculan el mismo código basándose en ese secreto y en la hora actual, por lo que el código funciona incluso sin conexión a internet.

El método TOTP es resistente al bombardeo de notificaciones y a los intercambios de SIM, ya que el código nunca viaja por la red telefónica. Su debilidad radica en que debes introducir el código en una página web, y una página falsa puede capturarlo y utilizarlo de inmediato. CISA cataloga los códigos de un solo uso basados en aplicaciones como resistentes al bombardeo de notificaciones, pero vulnerables al phishing.

Llaves de seguridad y llaves de acceso (passkeys)

Estas utilizan los estándares FIDO y WebAuthn, los cuales se basan en criptografía de clave pública. Tu dispositivo o llave de seguridad almacena una clave privada, y el servicio guarda únicamente la clave pública correspondiente. Cada credencial es única para un servicio determinado. No hay ningún secreto compartido que se pueda robar, y el inicio de sesión está vinculado a la dirección del sitio web real. Un sitio falso no puede utilizarla, razón por la cual CISA califica a FIDO/WebAuthn como el único método ampliamente disponible que es resistente al phishing.

Una llave de seguridad es un pequeño dispositivo físico que conectas o tocas. Una llave de acceso (passkey) es la misma tecnología almacenada en tu teléfono o computadora, a menudo sincronizada entre tus dispositivos. La FIDO Alliance afirma que las llaves de acceso pueden reemplazar los flujos tradicionales de contraseña más código, y la guía de 2025 del NIST reconoce las llaves de acceso sincronizables como multifactor. La creación de cuentas aborda las llaves de acceso al registrarse.

Los inconvenientes son el costo, la compatibilidad dispar entre servicios y la necesidad de planificar qué hacer en caso de perder el dispositivo.

Lo que la MFA no puede detener

La MFA no es un campo de fuerza. Conoce sus límites:

  • Phishing del código: Un sitio falso muy convincente puede recopilar tu contraseña y tu código para pasárselos al sitio real en tiempo real. Solo los métodos resistentes al phishing detienen esto.
  • Presión y engaños: El bombardeo de notificaciones y las llamadas del “soporte técnico” te piden que apruebes algo. Rechaza cualquier notificación que no hayas iniciado tú y nunca le leas un código a nadie por teléfono.
  • Apoderamiento del número de teléfono: Un intercambio de SIM inutiliza los códigos por texto y también permite a un atacante acceder a cuentas que utilizan tu número para la recuperación.
  • Vías de recuperación débiles: Si un atacante puede restablecer tu contraseña a través de una cuenta de correo electrónico desprotegida o mediante el servicio de atención al cliente, es posible que el segundo factor no llegue a intervenir. Protege primero tu correo electrónico con MFA.

Qué pasa si te quedas sin acceso

Una MFA más estricta eleva el costo de perder el dispositivo. Esta sección de nuestros consejos no proviene de un estudio, sino que se deduce de cómo operan estos métodos:

  • Registra una copia de respaldo: Añade una segunda llave de seguridad o un segundo dispositivo de autenticación antes de necesitarlo.
  • Guarda los códigos de recuperación: Muchos servicios te proporcionan códigos de un solo uso al activar la MFA. Almacénalos sin conexión a internet (offline), no en el mismo lugar donde guardas tus contraseñas.
  • Averigua dónde se guardan los secretos de tu autenticador: Si tu aplicación de autenticación no realiza copias de seguridad ni se sincroniza, la pérdida de tu teléfono puede dejarte sin acceso a todas las cuentas vinculadas a ella.
  • Comprueba qué otros métodos pueden iniciar sesión: Una cuenta es tan segura como el método más débil que permanezca habilitado. Si usas una llave de seguridad pero dejas activados los códigos de texto, un atacante podría optar por usar los códigos de texto en su lugar.

Por dónde empezar

Estos pasos van de los más a los menos útiles:

  1. Activa la MFA primero para tu correo electrónico, luego para tu gestor de contraseñas y a continuación para tu banco. El correo electrónico se utiliza para restablecer todo lo demás.
  2. Utiliza el método más seguro que ofrezca cada servicio. En un orden aproximado, esto es: una llave de seguridad o passkey; después, una aplicación de autenticación o notificaciones push con coincidencia de números; y por último, los códigos de texto.
  3. Si utilizas notificaciones push, activa la coincidencia de números si está disponible y rechaza cualquier aviso que no hayas iniciado tú.
  4. Configura un método de respaldo y guarda los códigos de recuperación sin conexión antes de depender de cualquiera de estos sistemas.
  5. Cuando haya disponible un método seguro, desactiva las opciones más débiles en esa cuenta para que no puedan ser utilizadas como vía alternativa.

El nivel de esfuerzo que merece cada paso depende de lo que proteja cada cuenta. Una cuenta prescindible en un foro no necesita una llave de seguridad; tu correo electrónico, probablemente sí. La introducción a las contraseñas cubre el primer factor de autenticación.

Fuentes

Páginas relacionadas

Preguntas frecuentes