Para proteger las cuentas de una empresa no basta con "activar MFA": importa qué método usas. Los códigos por SMS y las aplicaciones de códigos son mucho mejores que una contraseña sola, pero un sitio de phishing bien armado puede capturarlos. Las notificaciones push con coincidencia de números frenan la fatiga de MFA, y las llaves de seguridad FIDO2 y las passkeys son resistentes al phishing porque la credencial queda ligada al dominio legítimo. La receta para una pyme: gestor de contraseñas, inicio de sesión único (SSO), MFA para todos, passkeys o llaves físicas para administradores y un proceso de recuperación de cuentas tan estricto como el inicio de sesión.
¿Por qué las cuentas son el blanco principal de los atacantes?
Año tras año, el Data Breach Investigations Report (DBIR) de Verizon ubica el uso de credenciales robadas y el phishing entre las vías de acceso inicial más comunes en las brechas que analiza. La lógica es simple: entrar con un usuario y una contraseña válidos es más barato y silencioso que explotar una vulnerabilidad, y el acceso parece legítimo en los registros.
Las credenciales se obtienen de varias formas:
- Reutilización de contraseñas: una clave filtrada en la brecha de otro servicio se prueba de forma automatizada en el correo corporativo, la VPN o el CRM.
- Phishing: páginas de inicio de sesión falsas, cada vez más convincentes gracias a la IA generativa. Lo explicamos en nuestra guía sobre phishing con IA y deepfakes.
- Malware infostealer: programas que roban contraseñas guardadas en el navegador y cookies de sesión, a menudo desde el computador personal de un empleado.
- Mercados de accesos: intermediarios que venden credenciales y sesiones válidas a grupos de ransomware.
Una cuenta de correo comprometida basta para el fraude por suplantación de proveedores, para restablecer contraseñas de otros servicios o para iniciar un ataque de ransomware. Por eso la protección de cuentas es la primera fase de cualquier estrategia de Zero Trust para pymes.
¿Qué es MFA y por qué no todos los métodos protegen igual?
La autenticación multifactor (MFA) exige dos o más factores de distinta naturaleza para iniciar sesión: algo que sabes (una contraseña), algo que tienes (un teléfono o una llave de seguridad) o algo que eres (una huella o tu rostro). Cualquier MFA reduce de forma drástica los ataques automatizados con contraseñas filtradas. Pero frente a un phishing dirigido, las diferencias entre métodos son enormes.
El motivo son los kits de phishing de tipo adversary-in-the-middle (AiTM): un sitio falso se coloca entre la víctima y el servicio real, reenvía la contraseña y el código en tiempo real, y se queda con la cookie de sesión. Para el servicio, el inicio de sesión fue válido y con MFA. Solo los métodos ligados criptográficamente al dominio legítimo resisten este ataque.
| Método | Cómo funciona | ¿Resiste phishing? | Riesgo principal |
|---|---|---|---|
| SMS o llamada | Código enviado al número de teléfono | No | SIM swapping, interceptación y phishing en tiempo real. NIST SP 800-63B lo clasifica como autenticador restringido |
| Código TOTP en una app (Google Authenticator, Microsoft Authenticator y similares) | Código de 6 dígitos que cambia cada 30 segundos | No | El usuario puede escribir el código en un sitio falso |
| Push simple (aprobar o rechazar) | Notificación en la app del celular | No | Fatiga de MFA: el usuario aprueba por cansancio o por error |
| Push con coincidencia de números | El usuario escribe en la app el número que ve en pantalla | No, pero frena la fatiga | Sigue siendo vulnerable a un phishing AiTM bien hecho |
| Llaves de seguridad FIDO2 y passkeys | Firma criptográfica ligada al dominio, desbloqueada con PIN o biometría | Sí | La recuperación de cuenta y la pérdida del dispositivo, si no se planifican |
La conclusión práctica: cualquier MFA es mejor que ninguno, la app con coincidencia de números es un buen piso para todo el personal, y los métodos FIDO2 deben ser obligatorios para administradores y cuentas con acceso a dinero o datos sensibles. CISA recomienda MFA resistente al phishing como objetivo para todas las organizaciones.
¿Qué es un ataque de fatiga de MFA?
Un ataque de fatiga de MFA (también llamado bombardeo de notificaciones) consiste en que el atacante, que ya tiene la contraseña de la víctima, dispara decenas de solicitudes de aprobación push hasta que la persona acepta una por cansancio, por error o porque alguien que se hace pasar por soporte técnico se lo pide. Fue una de las técnicas en ataques ampliamente documentados, como la intrusión a Uber en 2022.
Cómo defenderse:
- Activa la coincidencia de números en las aprobaciones push. Microsoft Authenticator ya la aplica por defecto y la mayoría de proveedores la ofrece.
- Muestra contexto en la notificación: aplicación, ubicación aproximada y dispositivo.
- Limita los intentos y alerta al equipo de seguridad ante ráfagas de solicitudes rechazadas.
- Enseña una regla simple: si llega una solicitud que no iniciaste, recházala y repórtala, porque significa que alguien ya tiene tu contraseña.
- Migra las cuentas críticas a passkeys o llaves FIDO2, que no dependen de que la persona apruebe nada.
Passkeys explicadas: qué son y cómo funcionan
Una passkey es una credencial de inicio de sesión basada en criptografía de clave pública, definida por los estándares FIDO2, que reemplaza a la contraseña: el dispositivo guarda una clave privada que nunca sale de él y el servicio solo conoce la clave pública correspondiente. FIDO2 combina dos especificaciones: WebAuthn, el estándar del W3C que usan los navegadores y los sitios web, y CTAP, el protocolo de la FIDO Alliance para comunicarse con autenticadores externos como una llave USB o un teléfono.
Al iniciar sesión, el servicio envía un desafío, el dispositivo pide tu huella, rostro o PIN para desbloquear la clave y firma ese desafío. Tres propiedades explican por qué es tan sólida:
- Ligada al dominio: la passkey de tuempresa.com no funciona en tuempresa-login.com. Un sitio de phishing simplemente no recibe una firma válida.
- Nada reutilizable que robar: el servidor no guarda secretos compartidos; una brecha de su base de datos no expone credenciales utilizables.
- La biometría se queda en el dispositivo: la huella o el rostro solo desbloquean la clave localmente; no viajan al servicio.
Hay dos tipos de passkeys, y conviene elegir con criterio:
| Tipo | Dónde vive | Ventajas | Úsala para |
|---|---|---|---|
| Sincronizada | En el gestor de credenciales de la plataforma o en un gestor de contraseñas (iCloud Keychain, Gestor de contraseñas de Google, 1Password, Bitwarden y otros), sincronizada entre dispositivos | Cómoda, se recupera si pierdes el teléfono | La mayoría del personal y los clientes |
| Ligada al dispositivo | En una llave de seguridad física (por ejemplo, YubiKey) o en el chip de seguridad de un equipo, sin posibilidad de copiarse | Máximo control: la credencial no sale del hardware | Administradores, finanzas y cuentas de la nube |
Gestor de contraseñas y SSO: las piezas que completan el cuadro
Mientras existan contraseñas, la empresa necesita un gestor de contraseñas corporativo: genera claves largas y únicas para cada servicio, permite compartir credenciales de equipo sin enviarlas por chat y avisa cuando una aparece en una filtración. Además, solo autocompleta en el dominio correcto, lo que ya es una defensa contra phishing.
Las pautas de contraseñas de NIST SP 800-63B, en su revisión más reciente, van en la misma línea: privilegiar la longitud, no exigir reglas de composición arbitrarias ni cambios periódicos sin motivo, y comparar las claves nuevas contra listas de contraseñas comprometidas.
El inicio de sesión único (SSO) reduce el problema de raíz: el personal se autentica una vez, con MFA fuerte, en el proveedor de identidad (Microsoft Entra ID, Google Workspace, Okta), y desde ahí entra a las demás aplicaciones. Menos contraseñas que robar, un solo lugar donde exigir passkeys y bajas de personal que se resuelven deshabilitando una cuenta.
Cuentas de administrador y privilegiadas
Una cuenta de administrador comprometida es un incidente mayor, así que merece reglas propias:
- Cuentas de administrador separadas de las de uso diario, sin correo ni navegación.
- MFA resistente al phishing obligatorio, con dos llaves de seguridad por persona: una de uso diario y otra de respaldo guardada en un lugar seguro.
- Cuentas de emergencia (break-glass) con credenciales fuertes guardadas fuera de línea y alertas cada vez que se usan.
- No olvides las cuentas "invisibles": la cuenta raíz de la nube, el registrador del dominio, el DNS, la banca en línea, las redes sociales de la marca y las consolas de proveedores. Un atacante que controla tu DNS controla tu correo. Para AWS, el checklist de hardening detalla cómo proteger la cuenta root.
- Cuentas compartidas solo dentro del gestor de contraseñas, con registro de quién las usó, y nunca en una hoja de cálculo.
El eslabón débil: la recuperación de cuentas
De nada sirve una passkey si el atacante puede llamar a la mesa de ayuda, decir que perdió el teléfono y pedir que le restablezcan el MFA. Grupos como Scattered Spider, sobre el que CISA y el FBI publicaron un aviso conjunto, combinan ingeniería social contra mesas de ayuda, fatiga de MFA y SIM swapping precisamente para saltarse controles fuertes.
Para cerrar esa puerta:
- Verificación de identidad real antes de restablecer MFA: videollamada con documento, confirmación del jefe directo y devolución de llamada a un número registrado previamente, nunca al que da quien llama.
- Sin restablecimientos por SMS o correo personal para cuentas privilegiadas.
- Códigos de recuperación guardados en el gestor de contraseñas, no en el escritorio.
- Alertas automáticas cuando se registra un nuevo método de MFA o se elimina uno existente, enviadas al usuario y al equipo de seguridad.
- Período de espera o doble aprobación para restablecer el MFA de administradores.
Incluye estos escenarios en tu plan de respuesta a incidentes: qué hacer si se sospecha que una cuenta fue tomada, cómo revocar sesiones activas y quién lo decide.
Plan de implementación para una pyme
- Inventario: lista las aplicaciones, quién las usa, cuáles soportan SSO y passkeys, y cuáles son las cuentas privilegiadas.
- Administradores primero: compra llaves de seguridad (dos por persona) y exige métodos resistentes al phishing en el proveedor de identidad, la nube, el dominio y la banca.
- Gestor de contraseñas para todos, con una sesión corta de capacitación y la migración de las claves compartidas.
- MFA obligatorio para todo el personal con la app autenticadora y coincidencia de números como mínimo, y passkeys como opción recomendada. Bloquea la autenticación heredada que no admite MFA.
- SSO en las aplicaciones de negocio, empezando por las que manejan datos de clientes o dinero.
- Procedimiento de recuperación escrito y probado con la mesa de ayuda, incluido tu proveedor de TI si está tercerizado.
- Medición: porcentaje de cuentas con MFA, porcentaje con métodos resistentes al phishing, excepciones activas y restablecimientos de MFA del mes. Revísalo cada trimestre.
Comunica el cambio antes de imponerlo, ofrece soporte durante las primeras semanas y evita excepciones permanentes: la cuenta que queda fuera del MFA es justo la que el atacante va a buscar.
Si desarrollas tu propio producto: cómo agregar passkeys
Si tu empresa tiene una app o una plataforma con usuarios, ofrecer passkeys mejora la seguridad de tus clientes y suele reducir la fricción del inicio de sesión. Los puntos clave de una implementación con WebAuthn:
- No escribas la criptografía a mano. Usa una biblioteca de servidor mantenida y auditada por la comunidad, como SimpleWebAuthn para Node.js, py_webauthn para Python o java-webauthn-server para Java.
- Registro: el servidor genera un desafío aleatorio de un solo uso y el navegador llama a
navigator.credentials.create(). Guardas el ID de la credencial, la clave pública, el contador de firmas y el usuario al que pertenece. Permite varias passkeys por cuenta. - Autenticación: nuevo desafío,
navigator.credentials.get()en el navegador y verificación de la firma, el origen y el identificador de la parte confiante (RP ID, normalmente tu dominio) en el servidor. - Interfaz condicional: con
mediation: 'conditional'el navegador sugiere la passkey en el autocompletado del campo de usuario, lo que facilita la adopción. - Apps móviles: en Android se usa Credential Manager y en iOS el framework AuthenticationServices, y en ambos casos hay que asociar la app con tu dominio (Digital Asset Links y Associated Domains) para que la passkey funcione en la web y en la app. Revisa también nuestra guía de seguridad en apps móviles.
- Recuperación y respaldo: el flujo de recuperación será el nuevo objetivo de ataque; protégelo con verificación adicional, límites de intentos y notificaciones al usuario.
- APIs y sesiones: la passkey protege el inicio de sesión, no lo que viene después. Tokens de corta duración, invalidación de sesiones y controles de autorización siguen siendo necesarios, como explicamos en la guía de seguridad de APIs.
El sitio passkeys.dev, mantenido por la comunidad de FIDO y del W3C, reúne guías de implementación y compatibilidad por plataforma. Antes de lanzar, una prueba de intrusión enfocada en autenticación y recuperación de cuentas revela los atajos que un atacante buscaría primero.
Preguntas frecuentes
¿El MFA por SMS sigue siendo útil?
Sí, frente a no tener MFA. Bloquea la mayoría de ataques automatizados con contraseñas filtradas. Pero es vulnerable al SIM swapping y al phishing en tiempo real, y NIST lo considera un autenticador restringido. Úsalo solo como transición o último recurso, y nunca para administradores ni cuentas con acceso a dinero.
¿Qué diferencia hay entre una passkey y una llave de seguridad?
Ambas usan los estándares FIDO2 y resisten el phishing. Una passkey sincronizada vive en tu gestor de credenciales y se copia entre tus dispositivos; una llave de seguridad física guarda la credencial en el hardware y no se puede copiar. La llave física ofrece más control y es la opción recomendada para administradores; la passkey sincronizada es más cómoda para el resto del personal.
¿Qué pasa si un empleado pierde el teléfono donde tiene sus passkeys?
Si las passkeys están sincronizadas, se recuperan al iniciar sesión en la cuenta de la plataforma o del gestor de contraseñas en un dispositivo nuevo. Si son ligadas al dispositivo, se usa la llave de respaldo o el proceso de recuperación de la empresa. Por eso conviene registrar al menos dos autenticadores por persona y tener un procedimiento de recuperación con verificación de identidad.
¿Las passkeys reemplazan por completo a las contraseñas?
Pueden hacerlo en los servicios que las soportan, y ese es el objetivo de la FIDO Alliance. En la práctica, durante la transición muchas empresas mantienen contraseñas largas guardadas en un gestor como respaldo. Lo importante es que el método principal y el de recuperación sean igual de sólidos.
¿Cuánto cuesta implementar MFA en una pyme?
El MFA básico viene incluido en Microsoft 365, Google Workspace y la mayoría de servicios en la nube. Los costos adicionales suelen ser las llaves de seguridad para administradores, el gestor de contraseñas corporativo y las horas de configuración y capacitación. Casi siempre es una de las inversiones de seguridad con mejor relación entre costo y riesgo reducido.
Conclusión
Proteger las cuentas de tu empresa es la medida de seguridad con mayor impacto por cada dólar invertido. Activa MFA para todos, sube el nivel con coincidencia de números, exige passkeys o llaves FIDO2 a los administradores, suma un gestor de contraseñas y SSO, y trata la recuperación de cuentas con la misma seriedad que el inicio de sesión. Si además desarrollas software, ofrecer passkeys a tus clientes ya es una práctica estándar.
En MisterProSoft configuramos MFA resistente al phishing, SSO y políticas de acceso sobre tu Microsoft 365, Google Workspace o nube, revisamos los procesos de recuperación y agregamos passkeys a tus aplicaciones. Conoce nuestro servicio de ciberseguridad o agenda una consulta gratuita.
