Doble Factor De Autenticación: Qué Es y Cómo Activarlo
El doble factor de autenticación es, probablemente, la medida de seguridad con mejor relación entre lo poco que cuesta implantarla y lo mucho que reduce el riesgo. Basta con un dato para entenderlo: la mayoría de los accesos no autorizados a cuentas corporativas se producen con credenciales válidas, robadas mediante phishing o filtradas en brechas de terceros.
Contra eso, una contraseña por buena que sea no protege. Un segundo factor, sí.
Qué es y cómo funciona
Consiste en exigir dos pruebas independientes de identidad para conceder el acceso. La lógica es que un atacante puede robar una, pero difícilmente las dos a la vez.
Los factores se agrupan en tres categorías clásicas:
- Algo que sabes: la contraseña, un PIN, una respuesta secreta.
- Algo que tienes: el móvil, una llave física, un token.
- Algo que eres: huella dactilar, reconocimiento facial, iris.
Para que sea un doble factor real, los dos elementos deben pertenecer a categorías distintas. Una contraseña más una pregunta de seguridad no es doble factor: son dos cosas que sabes, y ambas se roban con el mismo phishing.
Cuando se combinan más de dos factores se habla de autenticación multifactor o MFA. En la práctica, los términos 2FA y MFA se usan a menudo indistintamente.
Los métodos, del más seguro al más débil
1. Passkeys y llaves FIDO2
Es el método más robusto disponible hoy. Se basa en criptografía de clave pública: el dispositivo guarda una clave privada que nunca sale de él y que está vinculada al dominio legítimo del servicio.
Su ventaja decisiva es que son resistentes al phishing por diseño. Si el usuario acaba en una web falsa que imita a la real, la passkey sencillamente no funciona, porque el dominio no coincide. No depende de que la persona se dé cuenta del engaño. Las llaves físicas tipo YubiKey o Titan y las passkeys integradas en el móvil o el navegador entran en esta categoría.
2. Aplicación de autenticación (TOTP)
Aplicaciones como Google Authenticator, Microsoft Authenticator o Authy generan un código de seis dígitos que cambia cada treinta segundos. El código se calcula en el propio dispositivo a partir de una semilla compartida, sin necesidad de conexión.
Es el mejor equilibrio entre seguridad y practicidad para la mayoría de organizaciones, y es claramente superior al SMS. Su punto débil es que el código sigue siendo un dato que el usuario puede teclear en una web fraudulenta.
3. Notificación push
El servicio envía un aviso al móvil y el usuario aprueba o rechaza. Es cómodo y evita teclear códigos, pero tiene una vulnerabilidad conocida que vemos a continuación.
4. Códigos por SMS
El método más extendido y el más débil de todos. Sigue siendo mejor que no tener nada, pero no debería ser la opción por defecto en un entorno corporativo.
Por qué el SMS es el eslabón flojo
Tiene dos problemas de fondo que no dependen del usuario:
El SIM swapping. Un atacante que conoce los datos personales de la víctima contacta con la operadora haciéndose pasar por ella y solicita un duplicado de la tarjeta SIM. Cuando lo consigue, todos los SMS —incluidos los códigos de verificación— llegan a su teléfono. No hace falta comprometer ningún dispositivo.
La infraestructura de telecomunicaciones. Los mensajes SMS pueden interceptarse aprovechando debilidades conocidas de los protocolos de señalización que emplean las operadoras. El usuario no puede hacer nada para evitarlo.
A esto se suma que un código por SMS es perfectamente phishable: basta con una página falsa que lo pida en el momento adecuado.
La fatiga de notificaciones
Es el ataque que ha popularizado el problema del push. El atacante, que ya tiene la contraseña válida, lanza intentos de acceso repetidos: decenas de notificaciones seguidas al móvil de la víctima, muchas veces de madrugada.
El objetivo es puramente psicológico. Tarde o temprano la persona pulsa aceptar, por error, por agotamiento o para que pare. Varias brechas relevantes de los últimos años empezaron exactamente así.
La defensa efectiva es el emparejamiento numérico: en lugar de un botón de aceptar, la pantalla de login muestra un número que el usuario debe introducir en la aplicación. Como el atacante no ve esa pantalla, no puede completar la aprobación. Conviene además limitar el número de solicitudes y alertar ante intentos repetidos.
Cómo implantarlo en una empresa
- Empieza por las cuentas de mayor riesgo: administradores de sistemas, dirección, finanzas y cualquier acceso remoto.
- Cubre a continuación el correo corporativo. Es la puerta de entrada al resto de servicios, porque desde ahí se recuperan contraseñas.
- Elige el método según el perfil. Llaves físicas o passkeys para las cuentas privilegiadas; TOTP como estándar general.
- Si usas push, activa el emparejamiento numérico. No lo dejes en simple aceptar o rechazar.
- Evita el SMS salvo como último recurso para usuarios que no puedan usar otra cosa.
- Planifica los métodos de recuperación antes del despliegue: qué pasa si alguien pierde el móvil un viernes por la tarde.
- Forma a los usuarios. Explicar por qué se hace reduce la resistencia mucho más que imponerlo sin más.
- Revisa los protocolos heredados que permiten saltarse el MFA, un punto que se olvida con frecuencia y deja la puerta abierta.
Errores frecuentes
- Activarlo solo para los administradores. Los atacantes entran por cuentas normales y escalan desde ahí.
- Dejar excepciones permanentes para directivos o para aplicaciones antiguas. Cada excepción es la vía que se acabará usando.
- No cubrir el acceso remoto ni las herramientas de administración externas.
- Guardar los códigos de recuperación en un documento compartido sin protección.
- Confiar en que la contraseña sigue sin importar. El segundo factor complementa una contraseña sólida, no la sustituye.
Cada infraestructura tiene su propio punto de partida y sus propias restricciones. Si quieres valorar cómo aplicar esto en tu organización, escríbenos y lo revisamos sobre tu caso concreto.