15.Autenticación multifactor (MFA)

La autenticación multifactor (MFA, también llamada verificación en dos pasos o 2FA) pide más de una prueba de que eres tú: además de la contraseña, un código en tu celular, una notificación que apruebas o una llave física.

Es como un cajero automático: necesitas la tarjeta (algo que tienes) y el NIP (algo que sabes). Si alguien ve tu NIP, sin la tarjeta no puede sacar dinero.

En términos técnicos

• Combina factores de tipos distintos:

• Dos contraseñas no son MFA: son dos factores del mismo tipo.
• Los métodos resistentes al phishing (llaves FIDO2 y passkeys) verifican el sitio real y no funcionan en una página falsa.

¿Dónde la vas a encontrar?

En el correo (Gmail, Outlook), en el banco, en las redes sociales, en las plataformas educativas, en el acceso remoto (VPN) y en los paneles de administración de sitios web y servidores.

Dos casos reales

Qué lo habría evitado

En el primer caso, cualquier MFA. En el segundo, MFA resistente al phishing o notificaciones con número de verificación, más capacitación: «si llegan notificaciones que no pediste, recházalas y avisa».

Comparativa de métodos (de menos a más seguro)

Activarla bien

1. Empieza por el correo, después el banco y las redes sociales.
2. Guarda los códigos de recuperación en tu gestor de contraseñas o impresos en un lugar seguro.
3. Registra un segundo método (otra llave, otra app) por si pierdes el celular.
4. Nunca apruebes una notificación ni dictes un código que no pediste tú.

Por nivel

MITRE ATT&CK: mitigación M1032 — Multi-factor Authentication; técnicas relacionadas T1078 — Valid Accounts (uso de contraseñas robadas) y T1621 — Multi-Factor Authentication Request Generation (fatiga de MFA).

• MFA no es invencible: los sitios falsos pueden robar códigos en tiempo real. Por eso conviene avanzar a métodos resistentes al phishing.
• No dictes códigos por teléfono ni los escribas en un mensaje: nadie legítimo te los pedirá.
• La recuperación es parte de la seguridad: si cualquiera puede «recuperar» la cuenta con un SMS, el MFA pierde fuerza.
• Las cuentas compartidas (p. ej. de un laboratorio) complican el MFA; mejor cuentas individuales.
• Empieza por lo crítico si no puedes activarlo en todo de una vez.

• CISA. Implementing Phishing-Resistant MFA (2022). https://www.cisa.gov/resources-tools/resources/implementing-phishing-resistant-mfa
• NIST. SP 800-63B-4 — Authentication and Authenticator Management (2025). https://pages.nist.gov/800-63-4/sp800-63b.html
• FIDO Alliance. FIDO2 y passkeys. https://fidoalliance.org/fido2/
• MITRE ATT&CK. T1621 — Multi-Factor Authentication Request Generation. https://attack.mitre.org/techniques/T1621/