La autenticación en dos pasos —también llamada MFA (Multi-Factor Authentication) o «doble factor»— es, probablemente, la medida de ciberseguridad con mejor relación entre coste y protección que existe. No requiere comprar ningún software nuevo: la mayoría de servicios que ya usa tu empresa (Microsoft 365, Google Workspace, banca online) la incluyen de serie. Solo hace falta activarla.
Qué es exactamente y por qué una contraseña ya no basta
Una contraseña es «algo que sabes». El problema es que se puede robar: por phishing, por reutilización entre servicios o porque apareció filtrada en una brecha de datos de otra empresa años atrás. El MFA añade un segundo factor de otra naturaleza — «algo que tienes», como el móvil que recibe un código o una app de autenticación. Aunque el atacante consiga la contraseña, no puede entrar sin ese segundo elemento.
Dato
El 65% de las personas reutiliza contraseñas entre distintos servicios. Con MFA activado, esa contraseña filtrada deja de ser suficiente para acceder a la cuenta.
Dónde activarlo primero (si no puedes hacerlo en todo a la vez)
- Correo corporativo. Es la puerta de entrada a casi todo lo demás — desde ahí se pueden resetear otras contraseñas.
- Accesos con privilegios de administrador (gestor documental, ERP, banca online, paneles de hosting o dominio).
- Cuentas de dirección y finanzas, las más buscadas en fraude del CEO y BEC.
- Accesos remotos (VPN, escritorio remoto), especialmente si hay teletrabajo.
Los métodos, de menos a más seguro
No todos los factores ofrecen la misma protección:
- SMS. Mejor que nada, pero vulnerable a duplicado de SIM. Válido como punto de partida.
- App de autenticación (Microsoft Authenticator, Google Authenticator). Más segura que el SMS y sin coste añadido.
- Llave física (FIDO2/passkey). El estándar más robusto, recomendable para accesos críticos de dirección y administración de sistemas.
La objeción más habitual: «es incómodo para el equipo»
La resistencia inicial suele durar la primera semana. Configurado con «recordar este dispositivo 30 días», el impacto en el día a día es mínimo, mientras que la protección se mantiene activa frente al escenario que realmente importa: alguien intentando entrar desde un dispositivo o ubicación que no es la habitual.
Si tu empresa todavía no tiene MFA obligatorio en el correo corporativo, es probablemente el cambio de mayor impacto que se puede aplicar en una tarde.