El doble factor de autenticación —MFA, o 2FA— es la medida de seguridad con mejor relación entre coste y efecto que puede poner una empresa pequeña. También es una de las que más se implanta a medias, generando una sensación de protección que no existe.
Esta guía explica qué frena de verdad, qué no frena en absoluto y cómo desplegarlo en una PYME sin bloquear al equipo el primer lunes.
Qué es (y qué no es) el doble factor
El doble factor significa que para entrar hacen falta dos cosas de naturaleza distinta: algo que sabes (la contraseña) y algo que tienes (el móvil, una llave física) o algo que eres (huella, cara).
Lo que no es doble factor:
- Dos contraseñas, o una contraseña más una pregunta secreta. Las dos son «algo que sabes».
- Un código enviado al mismo canal que ya estás usando de forma insegura.
- Un «recordar este dispositivo» permanente en un equipo compartido.
La diferencia importa: si un atacante consigue tu contraseña por una filtración, un segundo factor de otra naturaleza le deja fuera. Si el segundo factor es otra contraseña, no ha servido de nada.
Los tres factores, ordenados por resistencia
- Llave física (FIDO2 / passkey). El estándar más sólido: resiste phishing por diseño, porque la llave verifica el dominio real. Es lo que deberían usar dirección, administradores y banca.
- App autenticadora con código temporal (TOTP). Buen equilibrio para el resto de la plantilla: gratuito, sin dependencia de la red móvil y sin coste por usuario.
- SMS o llamada. Mejor que nada, pero el eslabón más débil: el número se puede portar o interceptar, y el ataque de SIM swapping está documentado desde hace años.
Un detalle que se pasa por alto: el correo como segundo factor (recibir el código en el mismo correo) es casi inútil. Si te han comprometido el correo, tienen también el segundo factor.
Por qué el SMS sigue siendo el eslabón débil
No es que el SMS esté roto; es que depende de un operador y de un número que se puede trasladar a otra tarjeta con datos filtrados. Además, el código llega a un dispositivo que muchas veces está sincronizado con el ordenador, con lo que la separación de canales desaparece.
Si solo puedes permitirte SMS en algún colectivo, hazlo, pero no lo pongas como estándar para administradores. Y desde luego, no lo uses como excusa para no desplegar nada.
Push fatigue: cuando el atacante te pide permiso
Con la autenticación por notificación push, el atacante que ya tiene tu contraseña puede lanzar decenas de solicitudes hasta que una se acepta por cansancio o por error. Se llama MFA fatigue o push bombing.
- Activa la verificación con número en las notificaciones push: te dice qué número estás aprobando.
- Limita el número de intentos y aplica bloqueo temporal.
- Forma al equipo: una notificación que no has pedido es un intento de intrusión, no un error de la aplicación. Y se reporta.
Cómo implantarlo en una PYME, en orden
- Empieza por lo que se ve desde Internet. Correo, VPN, escritorio remoto, paneles de administración y banca. Ahí está el retorno inmediato.
- Después, administradores y dirección. Son las cuentas con más poder y las más atacadas por el fraude del CEO.
- Luego, el resto de la plantilla. Con una guía de tres pasos y una sesión de dudas; buena parte del rechazo es desconocimiento, no falta de voluntad.
- Deja un procedimiento de recuperación. Qué pasa si alguien pierde el móvil un sábado. Sin esto, el equipo acabará buscando atajos que anulen el control.
- Revisa las cuentas de servicio. Los sistemas que se conectan solos no pueden pedir un código: usa credenciales gestionadas, no una cuenta personal compartida exenta de MFA.
Lo que el MFA no resuelve
El doble factor no arregla una contraseña reutilizada, ni un equipo infectado, ni un empleado que aprueba una notificación que no pidió. Tampoco protege frente a un ataque que ya está dentro de la red.
Es una capa, no un escudo. Si quieres ver el resto de la foto, en el caso de Snowflake tienes qué pasa cuando las credenciales se filtran y nadie las rota, y en la guía de phishing el vector que sigue funcionando incluso con MFA activo.
Errores que vemos a menudo
- Eximir a la dirección «por comodidad». Es justo la cuenta que más se suplanta.
- Activar MFA solo en el correo web y dejar el protocolo antiguo de correo abierto sin doble factor.
- No documentar el alta y la baja. Un empleado que se va con el segundo factor activo es una puerta que sigue abierta.
- Confundir tener MFA con estar protegido y bajar la guardia en el resto de controles.
Tu siguiente paso
Si no sabes qué servicios de tu empresa están expuestos hoy, empieza por ahí: nuestra auditoría OSINT gratuita revisa tu exposición pública —incluidos correos y accesos visibles— y te entrega un informe en 72 horas, sin tocar tus sistemas.
Y si lo que quieres es comprobar qué resiste de verdad tu red con las defensas actuales, lo hacemos con un pentesting autorizado por escrito.