MFA(MFA)
Angleški izraz: Multi-Factor Authentication
Método de inicio de sesión que requiere una prueba de identidad adicional además de la contraseña, generalmente una confirmación en una aplicación móvil.
Kaj pomeni MFA?
MFA (Multi-Factor Authentication) es un proceso de autenticación en el que el usuario demuestra su identidad mediante dos o más pruebas independientes. Clásicamente son: algo que sabes (contraseña), algo que tienes (teléfono, llave de seguridad) y algo que eres (huella dactilar, rostro).
En el ámbito empresarial, predomina la combinación de contraseña y confirmación en una aplicación de autenticación (por ejemplo, Microsoft Authenticator o Google Authenticator). Los mensajes SMS son una opción menos segura debido al riesgo de duplicación de tarjeta SIM (SIM swap), aunque siguen siendo mejores que usar solo una contraseña.
MFA y 2FA se utilizan a menudo como sinónimos. Estrictamente hablando, 2FA es un subconjunto de MFA donde se utilizan exactamente dos factores.
Zakaj je to pomembno za podjetja?
La gran mayoría de las intrusiones exitosas en sistemas empresariales ocurren a través de contraseñas robadas o adivinadas. En la práctica, MFA interrumpe esta vía de ataque: incluso si el atacante conoce la contraseña, no puede completar el inicio de sesión sin el segundo factor.
Microsoft y otros proveedores informan que MFA previene más del 99 % de este tipo de ataques. Es una relación entre el esfuerzo invertido y la seguridad obtenida que rara vez se encuentra en un entorno de IT.
Kje se to pojavi v praksi?
Uso típico: el inicio de sesión en Microsoft 365 (Outlook, Teams, SharePoint) requiere, además de la contraseña, una confirmación en la aplicación Microsoft Authenticator. Al iniciar sesión desde un dispositivo conocido en la oficina, MFA no se activa; al hacerlo desde el extranjero o desde un dispositivo nuevo, sí. Esto se define mediante reglas de Conditional Access.
Otro caso común: la conexión VPN a la empresa requiere contraseña y un código TOTP de la aplicación. Incluso si alguien roba el portátil y la contraseña, no podrá acceder a la red interna sin el teléfono del empleado.
Najpogostejše težave ali napake
El error más común es la implementación parcial: tener MFA pero no para todos los usuarios, no para todos los servicios o no para las cuentas de administrador. Las cuentas de administrador sin MFA son el primer objetivo de los ataques.
Otro problema frecuente: MFA a través de SMS para cuentas de administrador. Los atacantes pueden eludir este MFA mediante el intercambio de SIM (SIM swap). Para cuentas críticas, son más adecuadas las aplicaciones o las llaves de seguridad físicas (FIDO2).
Tercer error: la falta de un plan en caso de pérdida del teléfono. Sin un método de respaldo configurado (como códigos de reserva), un solo teléfono perdido puede causar que un usuario no pueda acceder al sistema durante días.
Kako pri tem pomaga VitalIT
En VitalIT ayudamos a las empresas a configurar MFA para que sea seguro y, al mismo tiempo, no interfiera con el trabajo diario. En entornos existentes, primero comprobamos dónde se está ejecutando ya MFA y qué cuentas siguen expuestas.
En la práctica, habilitamos MFA en Microsoft 365, establecemos reglas lógicas de Conditional Access (por ejemplo, 'sin MFA solo en la oficina'), preparamos instrucciones para los usuarios y nos encargamos del procedimiento en caso de pérdida del teléfono. Adaptamos las soluciones al entorno real y a lo acordado con el cliente.
Povezane storitve
Pogosta vprašanja
- ¿MFA ralentiza significativamente el trabajo de los empleados?
- En un entorno bien configurado, no. Con las reglas adecuadas (Conditional Access), MFA solo se activa en situaciones de mayor riesgo, como al iniciar sesión desde un dispositivo desconocido o desde otro país. El inicio de sesión diario en la oficina sigue siendo sencillo.
- ¿Es suficiente el MFA por SMS?
- Para un usuario común, el SMS es mucho mejor que nada. Para cuentas de administrador y críticas para el negocio, no recomendamos el SMS; los atacantes eluden este método mediante el intercambio de SIM. Es mejor utilizar una aplicación o una llave de seguridad física.
- ¿Qué pasa si un empleado pierde el teléfono?
- Con un procedimiento organizado (códigos de reserva, segundo dispositivo o administrador), el administrador puede restablecer el MFA en la cuenta y el usuario puede configurarlo en un nuevo dispositivo. Sin un procedimiento, la pérdida del teléfono puede suponer varios días sin acceso a los servicios de trabajo.
- ¿Es obligatorio MFA en todos los servicios?
- En Microsoft 365, VPN, acceso a servidores y todas las cuentas de administrador, sí. Para los servicios internos que no son accesibles desde internet, conviene evaluar el riesgo; a menudo, MFA también es útil allí, aunque no sea obligatorio.