Qué es multifactor y cómo protege tu empresa

Una contraseña filtrada puede bastar para que alguien entre al correo de una empresa, cambie datos bancarios, envíe mensajes fraudulentos o descargue información sensible. Por eso, cuando un proveedor recomienda activar MFA, muchos responsables preguntan: ¿qué es multifactor y realmente vale la pena? La respuesta corta es sí: agrega una segunda comprobación de identidad para que la contraseña, por sí sola, no abra la puerta.

La autenticación multifactor no sustituye una buena contraseña ni el respaldo de información. Es una capa adicional que reduce de forma importante el riesgo de accesos no autorizados a correo, sistemas administrativos, nube, puntos de venta y cuentas con privilegios. Para una pequeña o mediana empresa, puede marcar la diferencia entre detener un intento de intrusión y enfrentar una interrupción operativa.

Qué es multifactor en seguridad informática

Multifactor, también conocido como autenticación multifactor o MFA por sus siglas en inglés, es un método para verificar que una persona realmente es quien dice ser antes de permitirle entrar a un sistema. En lugar de pedir únicamente usuario y contraseña, el sistema solicita dos o más evidencias de identidad.

Estas evidencias suelen pertenecer a categorías distintas. La primera es algo que la persona sabe, como una contraseña o PIN. La segunda es algo que tiene, por ejemplo un teléfono con una aplicación autenticadora, una llave física de seguridad o un código temporal. La tercera es algo que es, como la huella digital o el reconocimiento facial.

Un acceso con contraseña y un código temporal generado en el celular ya utiliza dos factores. Si alguien roba o adivina la contraseña, todavía necesitaría tener acceso al segundo método de validación. Ese paso extra es precisamente el que bloquea muchos ataques comunes.

No hay que confundir multifactor con usar dos contraseñas o responder dos preguntas de seguridad. Aunque parezcan dos pasos, ambos pertenecen a la categoría de información que la persona sabe. Para que sea MFA, deben combinarse factores diferentes.

Por qué una contraseña ya no es suficiente

Las contraseñas se filtran más de lo que parece. Puede ocurrir por una campaña de phishing, una computadora infectada, una base de datos comprometida o simplemente porque un colaborador reutilizó la misma clave en una cuenta personal y de trabajo. También es frecuente que se compartan credenciales por mensaje o que una cuenta antigua permanezca activa después de una baja de personal.

Los delincuentes no necesitan atacar directamente la red de su negocio. A menudo prueban listas de correos y contraseñas filtradas en servicios populares de correo, almacenamiento en nube y aplicaciones empresariales. Si una combinación funciona, pueden entrar sin generar una alerta evidente al principio.

El multifactor cambia ese escenario. Aunque la contraseña esté expuesta, el atacante se detiene cuando el sistema le pide aprobar una notificación en el teléfono, introducir un código de una app autenticadora o conectar una llave de seguridad. No elimina todos los riesgos, pero evita que un solo dato comprometido se convierta automáticamente en una cuenta tomada.

Para negocios con facturación, pagos, información de clientes, expedientes, cámaras conectadas o acceso remoto, esta protección tiene un valor operativo. Un correo comprometido puede servir para engañar a proveedores, alterar instrucciones de pago o reiniciar contraseñas de otros servicios. Proteger primero el correo empresarial suele ser una de las decisiones más efectivas.

Cómo funciona la autenticación multifactor

El proceso es sencillo para el usuario. Primero inicia sesión con su correo y contraseña. Después, el sistema solicita una confirmación adicional. Según la plataforma configurada, puede recibir una notificación para aprobar o rechazar el acceso, abrir una app para consultar un código de seis dígitos o usar una llave física conectada al equipo.

Los códigos temporales generados por aplicaciones autenticadoras suelen ser una buena opción para muchas empresas. Funcionan sin depender de la señal de mensajes de texto y cambian cada pocos segundos. Las notificaciones de aprobación son cómodas, aunque requieren capacitación para que el personal no apruebe solicitudes que no inició.

Los mensajes SMS siguen siendo mejor que no tener MFA, especialmente cuando se necesita una implementación rápida. Sin embargo, tienen más riesgos que una aplicación autenticadora: el número puede ser objeto de fraude de portabilidad, puede no haber señal o el mensaje podría llegar con retraso. Para cuentas críticas, una llave física de seguridad o una app autenticadora ofrecen una protección superior.

La biometría, como huella o rostro, también puede participar en el proceso, generalmente para desbloquear el teléfono o confirmar una acción. Su utilidad depende de la plataforma y del dispositivo. Lo relevante es que la empresa defina un método confiable, práctico y fácil de recuperar si un usuario pierde su equipo.

Dónde conviene activar MFA primero

No todas las cuentas tienen el mismo impacto. El error común es activar multifactor solo en una aplicación aislada mientras el correo principal, el panel de dominio o la nube quedan protegidos únicamente por contraseña. La prioridad debe basarse en qué sistemas podrían detener la operación o exponer información si una cuenta cae en manos incorrectas.

Empiece por correo empresarial, cuentas de administración de Microsoft 365 o Google Workspace, almacenamiento en nube, accesos VPN o remotos, sistemas de respaldo y paneles de dominios. Después continúe con plataformas contables, banca empresarial, CRM, puntos de venta y herramientas donde se almacenen datos de clientes.

También es fundamental aplicarlo a administradores de TI, dueños del negocio y personal con facultades para pagos, cambios de cuentas bancarias o administración de usuarios. Una cuenta administrativa comprometida tiene un alcance mucho mayor que la cuenta de un usuario común.

En empresas con personal de campo, sucursales o turnos operativos, la política debe adaptarse al trabajo real. Si un empleado necesita entrar a una aplicación desde un equipo compartido, hay que definir quién autoriza el acceso, cómo se cierra sesión y qué ocurre cuando cambia de puesto. La seguridad no debe depender de que todos improvisen.

MFA no es infalible: errores que hay que evitar

La autenticación multifactor reduce el riesgo, pero puede fallar si se implementa sin controles básicos. Un atacante puede llamar o escribir fingiendo ser soporte técnico y pedir a un colaborador que apruebe una notificación. También puede crear una página falsa que capture la contraseña y el código temporal en tiempo real.

Por eso, el personal debe tener una regla clara: nunca aprobar una solicitud de acceso que no inició y nunca compartir códigos, contraseñas ni códigos de recuperación por llamada, correo o chat. El soporte legítimo no necesita que un usuario le dicte su código MFA.

Otro problema frecuente es no registrar métodos de recuperación. Si el único administrador pierde su teléfono y no existen códigos de respaldo, cuentas alternas protegidas o un procedimiento documentado, la empresa puede quedarse fuera de sus propios servicios. La recuperación debe planearse antes de que ocurra una emergencia.

Tampoco conviene usar un teléfono personal de un exempleado como segundo factor de una cuenta corporativa. Cuando una persona sale de la empresa, se deben revocar sus sesiones, retirar sus métodos MFA, cambiar accesos compartidos y validar que no conserve permisos en correo, nube, cámaras o sistemas administrativos.

Cómo implementar multifactor sin frenar al equipo

Una implementación útil comienza con un inventario de cuentas críticas y de quienes las utilizan. No se trata de activar una función al azar, sino de identificar correos, plataformas, administradores y procesos donde una intrusión tendría consecuencias reales.

Después, defina el método principal y uno de respaldo. Por ejemplo, una aplicación autenticadora como método principal y códigos de recuperación protegidos para contingencias. Para responsables de TI y cuentas administrativas, puede añadirse una llave física. Es recomendable evitar que una sola persona concentre toda la recuperación de accesos.

Antes de exigir MFA a todo el equipo, comunique qué cambiará y por qué. Una explicación de cinco minutos evita muchas llamadas de urgencia: el código no se comparte, la notificación inesperada se rechaza y el teléfono perdido se reporta de inmediato. La capacitación debe incluir ejemplos de mensajes fraudulentos, no solo instrucciones para instalar una aplicación.

Finalmente, revise la configuración de forma periódica. Verifique usuarios activos, dispositivos registrados, accesos desde ubicaciones inusuales y cuentas con permisos elevados. Si su empresa cuenta con correo empresarial, nube privada, respaldo remoto o acceso desde varias ubicaciones, conviene integrar esta revisión dentro de su mantenimiento de TI.

Una capa pequeña con un impacto real

Activar MFA puede tomar pocos minutos por usuario, pero su alcance es mucho mayor cuando protege el correo y los sistemas donde vive la operación diaria. Es una medida especialmente útil cuando el negocio no puede permitirse perder archivos, detener ventas, exponer información de clientes o resolver un fraude después de que ocurrió.

En Computo Inteligente ayudamos a evaluar qué cuentas requieren prioridad, configurar métodos de acceso adecuados y preparar una recuperación ordenada. La meta no es complicar el trabajo de su equipo, sino evitar que una contraseña robada se convierta en un problema para toda la empresa.