Tema 6
La autenticación multifactor busca reducir la dependencia de una sola prueba, especialmente de la contraseña. Bien implementada, eleva de forma significativa el costo del ataque. Mal entendida, en cambio, puede dar una falsa sensación de seguridad. La clave no está solo en agregar un segundo paso, sino en elegir factores adecuados y operarlos correctamente.
La contraseña, por sí sola, concentra demasiado riesgo. Puede filtrarse, reutilizarse, adivinarse o robarse mediante phishing. La autenticación multifactor aparece para romper esa dependencia y exigir una prueba adicional de otra categoría.
La idea general es simple: aunque un atacante obtenga una credencial, todavía debería enfrentar una segunda barrera independiente. Sin embargo, en la práctica, no toda implementación de MFA ofrece la misma protección. Algunas combinaciones son mucho más resistentes que otras, especialmente frente a phishing y ataques de intermediación.
Por eso este tema no solo enumera métodos. También analiza qué amenazas mitigan, qué limitaciones tienen y qué errores frecuentes convierten un control aparentemente fuerte en uno superficial.
MFA significa Multi-Factor Authentication. El término describe un proceso de autenticación que utiliza dos o más factores independientes pertenecientes a categorías distintas, por ejemplo:
El punto clave es la independencia. Dos pruebas del mismo tipo no necesariamente constituyen multifactor real. Contraseña más pregunta secreta, por ejemplo, siguen siendo conocimiento. Mejoran poco si el atacante ya puede obtener o inferir secretos del usuario.
El objetivo principal de MFA es reducir el impacto del compromiso de una credencial primaria, especialmente la contraseña. Si un atacante roba una clave por phishing o aprovecha reutilización desde una brecha anterior, debería encontrarse con un segundo requisito independiente.
Esto mejora de forma especial la resistencia frente a:
No obstante, MFA no resuelve todo. Si el segundo factor puede ser secuestrado, engañado o eludido por un flujo alternativo inseguro, la mejora real disminuye.
Un error común es asumir que “como hay MFA, la contraseña ya no importa tanto”. Esa idea es incorrecta. El primer factor sigue siendo parte crítica del sistema y sigue siendo un objetivo de ataque.
Si las contraseñas son débiles, el sistema puede quedar expuesto a soporte fraudulento, fatiga de segundo factor, procesos de recuperación inseguros o variantes de phishing que capturen ambos pasos. MFA debe verse como defensa en profundidad, no como permiso para descuidar lo básico.
Los métodos más frecuentes de segundo factor en sistemas actuales son:
Aunque todos suelen agruparse como “segundo factor”, no ofrecen la misma protección ni requieren la misma madurez operativa.
Los códigos OTP generados por una aplicación autenticadora son una opción muy difundida. En general se basan en secretos compartidos y generan códigos temporales con validez breve.
Sus ventajas principales son:
Sus límites también importan:
El SMS fue durante mucho tiempo uno de los métodos más usados por su conveniencia y alcance. Sin embargo, hoy se lo considera una forma de MFA más débil que otras alternativas modernas.
Los problemas principales son:
Esto no significa que SMS sea inútil. Suele ser mejor que no tener MFA, especialmente en contextos de adopción masiva. Pero para accesos de alto riesgo o requerimientos fuertes, conviene optar por métodos más robustos.
En este modelo, el usuario recibe una notificación en una aplicación confiable y aprueba o rechaza la solicitud. Su principal ventaja es la experiencia de usuario: evita transcribir códigos y puede incorporar contexto del intento de acceso.
Sin embargo, mal implementado puede ser vulnerable a la llamada fatiga MFA: el atacante dispara múltiples intentos hasta que el usuario aprueba por error, por costumbre o por confusión.
Para reducir este problema conviene:
Las llaves de seguridad y el ecosistema FIDO2/WebAuthn representan una de las opciones más fuertes para MFA moderno. Su principal ventaja es que no dependen de compartir un secreto reutilizable con el servidor en el mismo sentido que una contraseña o un OTP.
Mediante criptografía asimétrica y validación ligada al origen, ofrecen una resistencia muy superior a phishing y ataques de intermediación. Por eso suelen recomendarse para cuentas administrativas, accesos de alto valor y entornos donde la resistencia a takeover es prioritaria.
Su principal desafío no suele ser técnico, sino de despliegue: compra de dispositivos, enrolamiento, backups, soporte y experiencia de recuperación si el usuario pierde la llave.
La biometría puede participar en MFA, aunque muchas veces actúa como mecanismo local para desbloquear un factor de posesión almacenado en el dispositivo. Por ejemplo, una huella puede habilitar el uso de una passkey protegida por hardware.
Es importante no tratar la biometría como solución mágica. Aporta comodidad, pero plantea preguntas de privacidad, spoofing y revocación. En general funciona mejor cuando está contenida localmente y no como dato biométrico centralizado que deba viajar o almacenarse en bruto en servidores.
| Método | Ventaja principal | Debilidad típica | Nivel relativo |
|---|---|---|---|
| SMS | Alta adopción y simplicidad | SIM swapping, phishing, dependencia del operador | Básico a intermedio |
| OTP por app | Buena relación entre costo y mejora real | Phishing en tiempo real, recuperación delicada | Intermedio |
| Push | Muy buena experiencia de usuario | Fatiga MFA, aprobaciones impulsivas | Intermedio |
| FIDO2/WebAuthn | Alta resistencia a phishing | Mayor complejidad de despliegue y soporte | Alto |
| Certificados o smart cards | Control fuerte en entornos administrados | Operación más pesada y dependiente de infraestructura | Alto |
MFA mejora mucho el panorama, pero no convierte el sistema en invulnerable. Algunas amenazas siguen siendo relevantes:
Por eso MFA debe complementarse con gestión de sesiones segura, detección de anomalías, hardening del endpoint y protección del flujo de recuperación.
La fatiga MFA se convirtió en un problema visible porque explota un rasgo humano: la presión, la costumbre y el cansancio. Si el usuario recibe muchas notificaciones para aprobar un acceso, puede aceptar una por error o para “hacer desaparecer” el aviso.
Esto demuestra un punto importante: la experiencia de usuario no es un detalle menor en seguridad. Un diseño cómodo pero ambiguo puede ser más inseguro que uno un poco más exigente pero claro.
Las defensas típicas incluyen:
Un punto crítico, a veces subestimado, es el enrolamiento inicial del segundo factor. Si un atacante logra registrar su propio dispositivo o método durante esta etapa, todo el sistema queda debilitado aunque el método posterior sea fuerte.
Por eso el enrolamiento debe protegerse especialmente:
El despliegue de MFA fracasa si la recuperación está mal pensada. Tarde o temprano habrá usuarios que pierdan un teléfono, cambien de dispositivo o no puedan completar el segundo factor. La pregunta no es si ocurrirá, sino cómo se manejará sin abrir una puerta fácil para atacantes.
Buenas prácticas incluyen:
Un soporte técnico con criterios débiles puede deshacer toda la fortaleza del MFA.
No todos los escenarios tienen el mismo nivel de exposición. Sin embargo, hay casos donde MFA debería considerarse prácticamente obligatorio:
En otros contextos, la decisión puede graduarse por riesgo, criticidad y experiencia de usuario, usando MFA adaptativa o step-up authentication.
Una implementación madura no siempre exige el segundo factor en cada operación de la misma manera. En algunos sistemas conviene aplicar MFA adicional solo cuando cambia el contexto o cuando la operación es especialmente sensible.
Ejemplos típicos:
Este enfoque mejora la usabilidad, pero requiere una evaluación de riesgo bien diseñada para no dejar huecos previsibles.
La autenticación multifactor es una de las mejoras más valiosas que puede incorporar un sistema de acceso, pero su efectividad depende de los detalles. Elegir factores más resistentes, proteger enrolamiento y recuperación, y entender las amenazas reales hace la diferencia entre una defensa robusta y una implementación que solo suma pasos.
En el próximo tema abordaremos la gestión de sesiones, cookies, tokens y expiración segura, porque autenticar bien no alcanza si la sesión resultante puede ser secuestrada o mantenida de forma insegura.