.png)
¿Qué es la autenticación multifactor (MFA)?
La autenticación multifactor (MFA) es un método de seguridad que requiere que los usuarios proporcionen dos o más tipos diferentes de factores de autenticación antes de acceder a una cuenta, aplicación o sistema.
En lugar de depender solo de una contraseña, la MFA requiere pruebas adicionales de que el usuario es quien dice ser. Esto puede incluir un código único de una aplicación autenticadora, una clave física de seguridad o un factor biométrico como una huella digital.
El MFA refuerza la seguridad de la cuenta porque robar una contraseña por sí solo puede no ser suficiente para que un atacante acceda. Es un componente importante de la gestión de identidad y acceso (IAM), la seguridad confianza cero y una estrategia de ciberseguridad en capas.
Puntos clave
- La autenticación multifactor (MFA) agrega una capa extra de seguridad al requerir que los usuarios verifiquen su identidad empleando dos o más factores de autenticación diferentes, como contraseñas, claves de seguridad o biometría.
- El MFA ayuda a prevenir accesos no autorizados y ataques basados en credenciales. Incluso si los atacantes roban una contraseña, los requisitos adicionales de autenticación pueden dificultar la concesión de una cuenta.
- No todos los métodos MFA ofrecen el mismo nivel de protección. El MFA resistente al phishing ofrece una mayor seguridad contra el robo de credenciales, mientras que los métodos tradicionales pueden ser vulnerables a la fatiga del MFA, la ingeniería social y el secuestro de sesiones.
- La MFA por sí sola no puede impedir movimientos laterales ni contener incumplimientos de seguridad. Las organizaciones deberían combinar MFA con principios de confianza cero, acceso de privilegios mínimos y segmentación para limitar la capacidad de los atacantes de mover entre sistemas tras un compromiso.
¿Cómo funciona la autenticación multifactor?
La autenticación multifactor verifica la identidad de un usuario empleando múltiples factores de autenticación independientes.
Un proceso típico de MFA funciona así:
- Un usuario intenta iniciar sesión en una cuenta o aplicación.
- El usuario proporciona un primer factor de autenticación, como una contraseña.
- El sistema aplicar un factor adicional.
- El usuario verifica su identidad empleando otro tipo de factor, como una aplicación de autenticación o una clave de seguridad.
- El sistema valida ambos factores.
- Si se cumplen los requisitos de autenticación, se concede acceso al usuario.
La clave de la MFA es que los métodos de autenticación provienen de diferentes categorías de factores. Requerir dos contraseñas, por ejemplo, generalmente no constituiría autenticación multifactor porque ambas son el mismo tipo de factor.
¿Cuáles son los tipos de factores de autenticación?
Los factores de autenticación generalmente se agrupan en varias categorías según cómo el usuario demuestre su identidad.
Algo que ya sabes
Un factor de conocimiento es la información que el usuario conoce.
Los ejemplos incluyen:
- Contraseñas
- PINs
- Frases de contraseña
Las contraseñas se usan ampliamente, pero pueden ser robadas mediante phishing, encapsulamiento de credenciales, malware y otros ciberataques.
Algo que tengas
Un factor de posesión es algo que el usuario posee físicamente.
Los ejemplos incluyen:
- Smartphones
- Aplicaciones de autenticación
- Claves de seguridad de hardware
- Tarjetas inteligentes
- Fichas de hardware
Un atacante que roba la contraseña de un usuario también necesitaría acceso al factor de posesión para cumplir los requisitos de autenticación.
Algo que eres
Un factor de inherencia emplea una característica física o conductual asociada al usuario.
Ejemplos pueden incluir:
- Huellas dactilares
- Reconocimiento facial
- Iris scans
- Otros identificadores biométricos
La biometría puede proporcionar una autenticación conveniente, pero las organizaciones deben proteger cuidadosamente la información biométrica porque no puede cambiar tan fácilmente como una contraseña si se ve comprometida.
¿Por qué es importante la autenticación multifactor?
La MFA reduce el riesgo de que contraseñas comprometidas resulten inmediatamente en acceso no autorizado.
Las contraseñas pueden exponer mediante phishing, incumplimientos de datos, manipulación de credenciales, reutilización de contraseñas, malware y ataques de fuerza bruta. Si una cuenta depende únicamente de un nombre de usuario y una contraseña, obtener esas credenciales puede ser suficiente para que un atacante inicie sesión.
El MFA crea una barrera adicional.
Incluso si un atacante obtiene la contraseña correcta, también debe cumplir otro requisito de autenticación antes de acceder al acceso.
Las organizaciones emplean la MFA para ayudar:
- Proteger las cuentas de empleados y clientes
- Reducir los ataques basados en credenciales
- Acceso remoto seguro
- Proteger las aplicaciones en la nube
- Fortalecer las cuentas privilegiadas
- Apoya las iniciativas confianza cero
- Reducir el acceso no autorizado a recursos sensibles
- Cumplir con los requisitos de seguridad y cumplimiento
¿Cuál es la diferencia entre MFA y 2FA?
La autenticación de dos factores (2FA) es un tipo de autenticación multifactor.
La MFA requiere dos o más factores de autenticación diferentes. La 2FA requiere específicamente dos.
Por ejemplo, introducir una contraseña y luego aprobar el inicio de sesión usando una clave de seguridad de hardware es 2FA porque combina algo que el usuario sabe con algo que ya tiene.
Un proceso de autenticación que requiere tres factores diferentes seguiría siendo MFA, pero no se describiría como autenticación de dos pasos.
En la práctica, los términos MFA y 2FA a veces se usan indistintamente, pero MFA es la categoría más amplia.
¿Cuáles son los métodos comunes de MFA?
Las organizaciones pueden implementar MFA de varias maneras dependiendo de sus requisitos de seguridad y tecnología.
Los métodos comunes de MFA incluyen:
- Aplicaciones de autenticación que generan códigos de acceso de un solo uso
- Notificaciones push enviadas a dispositivos de confianza
- Claves de seguridad de hardware
- Tarjetas inteligentes
- Códigos SMS o mensajes de texto
- Códigos de verificación por email
- Autenticación biométrica
- Contraseñas de un solo uso (OTPs)
No todos los métodos MFA ofrecen el mismo nivel de protección.
Por ejemplo, la autenticación basada en SMS puede proporcionar una protección adicional en comparación con la autenticación solo con contraseña, pero puede ser vulnerable a técnicas como el intercambio de SIM y el phishing.
Las organizaciones que protegen sistemas sensibles pueden optar por métodos de autenticación más fuertes y resistentes al phishing.
¿Qué es el MFA resistente al phishing?
El MFA resistente al phishing está diseñado para evitar que los atacantes roben o reproduzcan credenciales de autenticación mediante ataques de phishing.
Algunos métodos tradicionales de MFA dependen de códigos o prompts de aprobación que los usuarios pueden proporcionar accidentalmente a un atacante. Los métodos resistentes al phishing emplean autenticación criptográfica diseñada para vincular el proceso de autenticación al servicio legítimo.
Las claves de seguridad de hardware y tecnologías basadas en los estándares FIDO son ejemplos comunes.
La MFA resistente al phishing puede ofrecer una protección más fuerte para cuentas de alto valor, administradores y usuarios que tienen acceso a sistemas sensibles.
¿Qué es la fatiga del MFA?
La fatiga MFA, a veces llamada bombardeo MFA o push bombing, es un ataque en el que un actor de amenaza envía repetidamente solicitudes de autenticación al dispositivo del usuario.
El atacante normalmente ya tiene el nombre de usuario y la contraseña de la víctima. Activan repetidos prompts de MFA con la esperanza de que el usuario finalmente apruebe uno accidentalmente, por confusión o simplemente para detener las notificaciones.
La fatiga de la MFA demuestra por qué simplemente habilitar la MFA no es suficiente. Las organizaciones deberían considerar métodos de autenticación más estrictos, monitorizar comportamientos de autenticación inusuales, educar a los usuarios y limitar los intentos de autenticación excesivos o sospechosos.
¿Se puede hackear o saltar la MFA?
La MFA refuerza significativamente la autenticación, pero no es imposible de eludir.
Los atacantes pueden intentar derrotar la MFA empleando técnicas como:
- Phishing
- Ataques adversario en medio
- Robo de tokens de sesión
- Fatiga del MFA
- Intercambio de SIM
- Malware
- ingeniería social
- Abuso en la recuperación de cuentas
- endpoints comprometidos
Por ejemplo, un atacante puede engañar a un usuario para que se autentique a través de un sitio de phishing malicioso y luego robar el token de sesión resultante.
Por tanto, la MFA debería ser una parte de una estrategia de seguridad por capas y no el único control que protege los recursos sensibles.
¿Cuál es la diferencia entre MFA e inicio de sesión único (SSO)?
La autenticación multifactor y el inicio de sesión único (SSO) (SSO) resuelven diferentes problemas de identidad y acceso.
La MFA refuerza la autenticación al requerir múltiples tipos de evidencia antes de conceder el acceso.
SSO permite a los usuarios autenticar una vez y luego acceder a múltiples aplicaciones conectadas sin introducir repetidamente las credenciales.
Las organizaciones suelen usar MFA y SSO juntos. Un usuario puede completar MFA durante el proceso inicial de autenticación SSO y luego acceder a aplicaciones autorizadas a través de la sesión de identidad establecido.
¿Cuál es la diferencia entre la autenticación multifunción y la autenticación sin contraseña?
La autenticación multifactor y la autenticación sin contraseña están relacionados pero son conceptos diferentes.
La MFA requiere múltiples factores de autenticación. La autenticación sin contraseña permite a un usuario autenticar sin introducir una contraseña tradicional.
Por ejemplo, un sistema podría autenticar a un usuario usando una clave de seguridad de hardware y verificación biométrica en lugar de una contraseña.
La autenticación sin contraseña puede reducir los riesgos asociados a contraseñas robadas, reutilizadas o débiles. Dependiendo de su implementación, la autenticación sin contraseña también puede emplear múltiples factores.
¿Cómo soporta MFA la seguridad de confianza cero?
La MFA es una parte importante de una estrategia de seguridad de confianza cero porque la confianza cero requiere que las organizaciones verifiquen usuarios y dispositivos en lugar de confiar automáticamente en ellos según la ubicación de la red.
MFA proporciona pruebas más estables de que un usuario que aplicar acceso es el propietario legítimo de la cuenta.
Sin embargo, la confianza cero no termina una vez que un usuario se autentica con éxito.
Tras la autenticación, las organizaciones deben seguir limitando el acceso en función del privilegio mínimo y controlar qué aplicaciones, cargas de trabajo y recursos pueden comunicar. Una cuenta legítima puede ver comprometida, y un usuario autenticado no debería recibir automáticamente acceso sin restricciones en todo el entorno.
Combinar MFA con acceso de privilegio mínimo, monitorización continua y segmentación crea múltiples capas de defensa.
¿Puede la MFA prevenir el movimiento lateral?
La MFA puede dificultar que los atacantes comprometan cuentas, pero no puede impedir todo movimiento lateral.
Si un atacante evita MFA, roba una sesión autenticada, compromete una carga de trabajo o accede a través de otra vulnerabilidad, puede que ya esté dentro del entorno.
El atacante puede entonces intentar descubrir sistemas adicionales y mover de un recurso a otro.
Por eso las organizaciones necesitan controles que asuman que aún pueden producir incumplimientos. La segmentación limita la comunicación entre sistemas, de modo que acceder a un recurso no proporciona automáticamente una vía hacia todo lo demás.
La MFA ayuda a proteger el punto de acceso inicial. La segmentación ayuda a contener a un atacante si ese punto de acceso está comprometido.
Cómo Illumio complementa la autenticación multifactor
La autenticación multifactor refuerza la seguridad de identidad al dificultar que los atacantes accedan usando credenciales robadas. Illumio proporciona una capa adicional de protección al limitar lo que los atacantes pueden alcanzar si se eluden los controles de autenticación.
Illumio proporciona visibilidad sobre la comunicación entre cargas de trabajo, aplicaciones y recursos a través de entornos híbridos y multinube.
Con Illumio Segmentation, las organizaciones pueden imponer la comunicación de privilegio mínimo y restringir conexiones innecesarias entre sistemas.
Si un atacante compromete una cuenta autenticada o accede a una carga de trabajo, la segmentación ayuda a contener el incumplimiento limitando las vías disponibles para el movimiento lateral.
Juntos, la MFA y la segmentación apoyan un enfoque de defensa en profundidad: la MFA dificulta el acceso no autorizado, mientras que la segmentación limita el impacto de un compromiso exitoso.
Ir más allá de la autenticación con Illumio Segmentation
La autenticación multifactor ayuda a mantener fuera a usuarios no autorizados, pero ¿qué ocurre cuando los atacantes eluden la autenticación o comprometen una cuenta legítima? Una vez dentro, los atacantes pueden intentar mover lateralmente por el entorno para acceder a datos sensibles y sistemas críticos.
Illumio Segmentation agrega otra capa de protección al limitar la comunicación innecesaria entre cargas de trabajo y aplicaciones, reduciendo las rutas que los atacantes pueden explotar tras obtener acceso.
Fortalece tu estrategia de confianza cero y evita que los atacantes se propaguen.
Explora Illumio Segmentation →
Preguntas frecuentes
¿Qué significa MFA?
MFA significa autenticación multifactor. Es un método de autenticación que requiere dos o más tipos diferentes de verificación antes de conceder acceso a una cuenta, aplicación o sistema.
¿Cuál es un ejemplo de autenticación multifactor?
Un ejemplo de MFA es iniciar sesión con una contraseña y luego usar una clave de seguridad hardware para completar la autenticación. La contraseña es algo que conoces, mientras que la clave de seguridad es algo que tienes.
¿El MFA es lo mismo que la 2FA?
No exactamente. La autenticación de dos factores (2FA) es un tipo de MFA que requiere exactamente dos factores de autenticación. MFA es el término más amplio y puede requerir dos o más factores.
¿Se considera una contraseña y un PIN MFA?
Generalmente, no. Una contraseña y un PIN son factores de conocimiento, o algo que conoces. La MFA requiere métodos de autenticación de diferentes categorías de factores.
¿Es mejor la MFA que una contraseña?
La MFA generalmente ofrece una protección más fuerte que la autenticación solo con contraseña, ya que comprometer la contraseña por sí sola puede no ser suficiente para acceder a la cuenta. La solidez de la MFA sigue dependiendo de los métodos de autenticación empleados y de cómo se implementen.
¿Cuál es el tipo más fuerte de MFA?
Los métodos MFA resistentes al phishing, como la autenticación mediante claves de seguridad o claves de acceso basadas en FIDO, pueden ofrecer una protección más fuerte contra el phishing que los métodos basados en códigos de un solo uso introducidos manualmente o mensajes SMS.
¿Pueden los hackers saltar el MFA?
Sí. A veces, los atacantes pueden eludir MFA usando phishing, robo de tokens de sesión, fatiga MFA, ingeniería social, malware u otras técnicas. La MFA refuerza significativamente la autenticación, pero debería combinar con controles de seguridad adicionales.
¿La MFA previene el phishing?
La MFA puede reducir la probabilidad de que las credenciales robadas mediante phishing provoquen la participación de la cuenta, pero no todos los métodos de MFA previenen el phishing. Los métodos de autenticación resistentes al phishing ofrecen una protección más fuerte contra ataques diseñados para robar o retransmitir credenciales.
¿Por qué es importante el MFA para confianza cero?
La MFA refuerza la verificación de identidad, que apoya el principio de confianza cero de verificar explícitamente el acceso. La confianza cero también exige que las organizaciones limiten el acceso y la comunicación tras la autenticación empleando el menor privilegio y otros controles de seguridad.