¿Qué es MFA? Guía práctica de autenticación multifactor
Privacidad, seguridad e identidad
MFA significa autenticación multifactor (Multi-Factor Authentication). Es un método de inicio de sesión que exige más de un tipo de evidencia para verificar que quien accede es realmente el titular de la cuenta. En la práctica, esto suele significar una contraseña más algo adicional: un código de una aplicación de autenticación, una notificación en un dispositivo de confianza, una llave de seguridad física o una passkey confirmada en el teléfono o el portátil. MFA es más seguro que una contraseña sola porque un secreto robado ya no es suficiente. Pero no es un escudo mágico. Algunos métodos son mucho más resistentes al phishing y al robo de cuentas que otros, y unos procesos de recuperación débiles pueden anular el beneficio.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La forma más sencilla de entender MFA es la siguiente: en lugar de preguntar "¿conoces la contraseña?", el sistema pregunta "¿puedes demostrar quién eres de más de una manera?". Las categorías clásicas de factores son algo que sabes, algo que tienes y algo que eres. "Algo que sabes" es una contraseña o un PIN. "Algo que tienes" es un teléfono, una llave de seguridad o un dispositivo compatible con passkeys. "Algo que eres" es un dato biométrico como una huella dactilar o el reconocimiento facial. En la práctica, los datos biométricos suelen desbloquear o activar un factor basado en el dispositivo, en lugar de funcionar de forma independiente.
Esta distinción importa porque no todos los segundos pasos ofrecen el mismo nivel de protección. Un código por SMS es mejor que no tener un segundo factor, pero puede interceptarse o redirigirse en algunos ataques. Una notificación push es cómoda, pero los usuarios pueden aprobarla por error si se les insiste demasiado. Un método resistente al phishing, como una llave de seguridad FIDO o una passkey correctamente implementada, es más robusto porque está vinculado al servicio legítimo y es mucho más difícil de reproducir en un sitio falso.
MFA es también solo una parte del control de acceso. Ayuda a establecer la identidad en el inicio de sesión, pero no determina qué puede hacer esa persona una vez que ha accedido.
Por qué importa
Para las organizaciones pequeñas y medianas, MFA importa porque las contraseñas siguen fallando de maneras habituales. El personal las reutiliza, los atacantes las obtienen mediante phishing, el malware las roba, las credenciales antiguas aparecen en filtraciones y el trabajo remoto significa que las páginas de inicio de sesión accesibles desde internet forman parte ya de las operaciones cotidianas. Si tu empresa utiliza Microsoft 365, Google Workspace, software financiero en la nube, plataformas de desarrollo, herramientas de RRHH o un asistente de IA conectado a documentos internos, el inicio de sesión se ha convertido en parte del riesgo operativo, no solo en una configuración de TI.
El efecto práctico de MFA es elevar el coste del robo de cuentas. Si un atacante obtiene una contraseña pero no puede completar el segundo factor, el ataque suele detenerse ahí. Esto importa especialmente en las cuentas de mayor impacto: administradores globales, aprobadores de finanzas, responsables de RRHH, desarrolladores con acceso a producción, administradores de identidad y cualquier persona que pueda conectar nuevas aplicaciones a los sistemas empresariales compartidos. También importa en los flujos de trabajo habilitados por IA. Un atacante que accede a la cuenta de un empleado puede no limitarse a leer el correo electrónico: puede consultar una base de conocimiento interna, aprobar un conector, extraer documentos o crear automatizaciones que continúen activas tras la brecha inicial.
MFA también favorece un diseño de identidad más sensato. Una vez que las organizaciones se apoyan en un proveedor de identidad centralizado, pueden combinar MFA con inicio de sesión único, acceso condicional, confianza en el dispositivo y una mejor gestión de bajas. Esto puede reducir tanto el riesgo como la fricción en el inicio de sesión. Bien implementado, el personal inicia sesión menos veces, pero los inicios de sesión importantes están mejor protegidos.
La advertencia importante es que "MFA activado" en un panel de control puede generar una falsa sensación de seguridad. Si el método es débil, las notificaciones son fáciles de aprobar por accidente, la recuperación es descuidada o las cuentas de acceso de emergencia no están gestionadas, el control puede parecer maduro mientras sigue siendo fácil de eludir.
Cómo funciona
En la práctica, MFA suele comenzar con un primer factor, como una contraseña. El servicio solicita entonces un segundo factor o comprueba si un dispositivo de confianza puede satisfacer ese requisito de forma automática. Las plataformas de identidad maduras no necesariamente solicitan el factor en cada ocasión: pueden pedirlo cuando el usuario está en un dispositivo nuevo, inicia sesión desde una ubicación inusual, intenta realizar una tarea administrativa o accede a datos especialmente sensibles.
Los métodos habituales varían en solidez. Los códigos por SMS y las llamadas de voz son familiares, pero dependen de un número de teléfono y de los controles de la red móvil, lo que los hace más vulnerables al intercambio de SIM y a la interceptación que los métodos más robustos. Las aplicaciones de autenticación son generalmente mejores porque generan códigos de un solo uso de forma local o aprueban una transacción a través de una aplicación en un dispositivo registrado. La aprobación por push es cómoda, pero las notificaciones de solo aprobación pueden ser objeto de abuso mediante solicitudes repetidas destinadas a desgastar al usuario. La coincidencia de números y el contexto adicional mejoran esto, pero aun así no convierten automáticamente un método en resistente al phishing.
Las llaves de seguridad físicas y las passkeys se sitúan en el extremo más robusto. Utilizan técnicas criptográficas que vinculan la autenticación al servicio real, lo que significa que una página de inicio de sesión falsa no puede simplemente capturar y reproducir el factor. Las passkeys también mejoran la usabilidad porque el gestor de credenciales integrado en el dispositivo puede crearlas, protegerlas y sincronizarlas entre dispositivos de confianza, sin dejar de exigir al usuario que desbloquee el dispositivo con un PIN, una huella dactilar o reconocimiento facial.
La recuperación también forma parte del funcionamiento de MFA, nos guste o no. El personal pierde teléfonos, cambia portátiles, rompe llaves y olvida qué registró. Por eso, el sistema de autenticación real incluye métodos de respaldo, códigos de recuperación emitidos o guardados, procesos del servicio de asistencia y acceso de emergencia. Por eso las rutas de recuperación mal controladas pueden convertirse en la verdadera debilidad. Un proceso de inicio de sesión robusto combinado con un restablecimiento de cuenta débil o una ruta de "acceso temporal" desprotegida no es sólido en la práctica.
Por último, MFA suele estar respaldado por otros controles. Si se utiliza SSO, el personal puede ver un único flujo de inicio de sesión con marca propia, pero detrás puede haber comprobaciones del dispositivo, reglas de sesión y requisitos específicos de cada aplicación. Esto es útil operativamente porque permite a los responsables establecer una base más sólida para muchas herramientas en lugar de configurar la identidad por separado en cada aplicación.
Ejemplos
Un primer caso de uso habitual es la protección de cuentas de productividad en la nube. Una consultoría de veinte personas gestiona correo electrónico, unidades compartidas, calendarios y herramientas de reuniones en una suite en la nube. Sin MFA, una contraseña obtenida mediante phishing podría exponer bandejas de entrada, documentos de propuestas y correspondencia con clientes. Con MFA aplicado a través del proveedor de identidad, el atacante necesita también el segundo factor. Eso no hace imposible el compromiso, pero reduce drásticamente la posibilidad de que una sola contraseña robada se convierta en un incidente que afecte a toda la empresa.
Un segundo ejemplo es el acceso de administrador. Una empresa de comercio electrónico en crecimiento tiene dos personas que pueden añadir usuarios, restablecer accesos, crear integraciones de aplicaciones y modificar la configuración de facturación. Esas cuentas de administrador merecen un tratamiento más riguroso que las cuentas del personal ordinario. El patrón práctico consiste en cuentas de administrador separadas, MFA resistente al phishing, uso restringido y almacenamiento seguro de los datos de recuperación. Esto importa porque si un atacante controla la cuenta del administrador de identidad, a menudo puede crear persistencia incluso después de que se restablezca la contraseña del usuario original.
Un tercer ejemplo es el acceso a conocimiento mediante IA. Un equipo despliega un asistente de IA interno conectado a documentos de políticas, notas de precios, archivos de proyectos y contenido de atención al cliente. El personal lo ve como una simple interfaz de chat, pero el punto de control real es la capa de identidad que protege los sistemas de origen. Si un usuario inicia sesión a través de SSO con MFA robusto, el asistente hereda una mejor decisión de confianza. Si el mismo usuario inicia sesión a través de una cuenta local débil con solo una contraseña, el asistente puede convertirse en una forma muy eficiente de recuperar información interna a gran escala.
Un cuarto ejemplo es el uso de herramientas para desarrolladores. Los ingenieros utilizan alojamiento Git, sistemas de integración continua, consolas en la nube, registros de paquetes y herramientas de acceso remoto desde casa y en movimiento. Estas cuentas suelen dar acceso al código fuente, secretos, cambios en la infraestructura y flujos de datos de producción. Aquí MFA no es opcional. Debería ser obligatorio, especialmente para acciones administrativas, gestión de secretos y flujos de aprobación, porque una identidad de desarrollador comprometida puede convertirse en un problema de cadena de suministro muy rápidamente.
También hay un ejemplo de proceso con personas. Una empresa tiene procedimientos fiables de altas y bajas, pero no tiene un proceso claro para el cambio de dispositivo. El personal que cambia de teléfono acaba llamando al servicio de asistencia, que habitualmente recurre a verificaciones inseguras. Eso convierte la recuperación en el punto débil. El flujo de trabajo más adecuado es diseñar desde el principio un proceso de reinscripción seguro, con pasos de verificación documentados, excepciones limitadas y un tratamiento explícito para los escenarios de pérdida de dispositivo.
Malentendidos frecuentes
Un malentendido habitual es pensar que MFA significa "contraseña más cualquier cosa". En realidad, la calidad del segundo factor importa. Un código por mensaje de texto y una llave de seguridad física son ambos segundos factores, pero no ofrecen la misma resistencia al phishing o al robo de cuentas.
Otro malentendido es que los datos biométricos resuelven automáticamente la identidad. Una huella dactilar o el desbloqueo facial pueden ser muy útiles, pero generalmente como parte de un método de autenticación basado en el dispositivo. No son razón para dejar de pensar en la confianza en el dispositivo, la recuperación, la revocación y los límites de acceso.
Un tercer malentendido es que MFA y la autorización son lo mismo. No lo son. MFA ayuda a verificar quién está iniciando sesión, pero no decide si esa persona debe leer datos de nóminas, exportar una lista del CRM, aprobar una ejecución financiera o conectar una herramienta de IA a una unidad compartida. Esas son preguntas de autorización y gobernanza.
Los responsables también piensan a veces que SSO elimina la necesidad de MFA porque el personal solo ve una página de inicio de sesión. En realidad, SSO suele hacer MFA más importante, no menos, porque ese único servicio de identidad se convierte en la llave de muchos sistemas. Si la puerta principal abre todo, la cerradura de esa puerta importa más.
Por último, muchos equipos asumen que si pueden recuperar una cuenta fácilmente, han mejorado la resiliencia. A veces simplemente han creado una vía de acceso más sencilla. La "recuperación fácil" solo es buena si sigue siendo resistente a la suplantación de identidad, la ingeniería social y las excepciones apresuradas durante incidentes de alta presión.
Riesgos y límites
El límite más importante que hay que entender es que MFA reduce el riesgo; no lo elimina. Si se engaña a los usuarios para que aprueben una notificación push, si se toma el control de un número de teléfono, si un contratista comparte una cuenta o si un equipo de soporte restablece un factor tras verificaciones de identidad débiles, el atacante puede igualmente acceder. En otras palabras, el control real no es solo el factor en sí, sino todo el proceso de identidad que lo rodea.
La fatiga de MFA es el ejemplo más claro. Si el personal recibe notificaciones repetidas y acaba aprobando una solo para que paren, la empresa puede técnicamente "tener MFA" mientras en la práctica permite el inicio de sesión por agotamiento. Por eso las notificaciones de solo aprobación o rechazo merecen escepticismo. La coincidencia de números y un contexto más rico ayudan, pero la respuesta más sólida suele ser migrar a los usuarios de alto riesgo a métodos resistentes al phishing.
El riesgo de intercambio de SIM es otra debilidad práctica. Si el segundo factor depende del control de un número de móvil, la recuperación de la cuenta de la operadora y la portabilidad del número pasan a formar parte del perímetro de seguridad. Esto puede ser aceptable para casos de uso de menor riesgo, pero no es adecuado para accesos privilegiados o de alto valor.
Las cuentas compartidas son un modo de fallo diferente. Si varias personas utilizan un mismo inicio de sesión de administrador y un teléfono compartido, MFA deja de tener sentido como evidencia de identidad. Puede haber dos factores, pero no una responsabilidad fiable. Lo mismo se aplica al acceso de emergencia no gestionado. Las cuentas de emergencia a veces se excluyen de los controles habituales para evitar bloqueos, pero si están débilmente protegidas, mal supervisadas u olvidadas hasta que surge una crisis, pueden convertirse en la ruta más fácil de acceso al entorno.
También existen límites de usabilidad. Un MFA robusto desplegado de forma torpe puede llevar al personal a buscar soluciones alternativas inseguras, dispositivos personales o herramientas no autorizadas. Eso no significa que haya que debilitar MFA, sino que el control debe implementarse con una inscripción clara, notificaciones sensatas y rutas de respaldo seguras.
Para las organizaciones del Reino Unido que gestionan datos personales, esto importa como parte de las obligaciones más amplias de seguridad y control de acceso, pero MFA por sí solo no equivale a cumplimiento normativo. Es un control técnico dentro de un modelo operativo más amplio que sigue necesitando diseño de roles, registros, gestión de dispositivos, revisiones de acceso y respuesta a incidentes.
Qué hacer a continuación
Empieza por clasificar las cuentas según su impacto en el negocio, no solo por el cargo. Los primeros despliegues obligatorios deberían cubrir habitualmente a los administradores de identidad, los administradores de la nube, los aprobadores de finanzas, RRHH, los desarrolladores con acceso a producción y cualquier persona que pueda crear integraciones o exponer datos internos a través de herramientas de IA. Si es necesario implementarlo por fases, hazlo por nivel de riesgo.
A continuación, elige una estrategia de solidez. Para el personal general, las aplicaciones de autenticación pueden ser una base realista si las passkeys o las llaves de seguridad aún no están disponibles. Para los usuarios con privilegios, apunta a métodos resistentes al phishing. Consulta a tu proveedor de identidad qué controles están disponibles para passkeys, llaves de seguridad, notificaciones condicionales, coincidencia de números y recuperación.
Después, revisa las excepciones. Enumera todas las cuentas excluidas de MFA, todas las cuentas locales fuera de SSO, todas las credenciales de administrador compartidas y todas las rutas de acceso de emergencia. Esos son a menudo los lugares donde la política parece más sólida sobre el papel y más débil en la práctica.
Tras eso, prueba la recuperación. No te limites a preguntar "¿puede la gente volver a acceder?". Pregunta "¿podría un atacante convencer a alguien para que le deje pasar por este proceso?". Simula un teléfono perdido, una cuenta de baja, una transferencia de contratista y un escenario de administrador de emergencia.
Por último, conecta MFA con la gobernanza. Incorpóralo a los procesos de incorporación, baja, cambio de dispositivo, respuesta a incidentes y diligencia debida con proveedores. Si permites asistentes de IA, automatización de flujos de trabajo o acceso basado en conectores a sistemas internos, exige MFA robusto para las identidades que aprueban y administran esas conexiones. Eso convierte MFA de una casilla que marcar en un perímetro de seguridad funcional.
¿Tienes alguna pregunta o sugerencia, o quieres saber cómo investigamos y revisamos estas guías? Lee sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es MFA lo mismo que la autenticación de dos factores?
En el lenguaje empresarial cotidiano, la gente suele usar MFA, 2FA y 2SV casi de forma intercambiable. En sentido estricto, la autenticación de dos factores utiliza dos factores, mientras que MFA puede significar dos o más. En la práctica, la pregunta más importante no es la etiqueta, sino la solidez del método. Una contraseña más SMS sigue siendo más débil que una passkey o una llave de seguridad física vinculada al servicio real.
¿Deberían las organizaciones pequeñas hacer MFA obligatorio para todos de inmediato?
Si tus herramientas lo admiten de forma fiable, hacer MFA estándar para todo el personal es sensato. Pero si necesitas un despliegue por fases, prioriza las cuentas que pueden causar más daño cuando se ven comprometidas: administradores, finanzas, RRHH, desarrolladores con privilegios y personas que pueden aprobar integraciones o acceder a repositorios de conocimiento sensibles. El error es esperar a un proyecto perfecto para toda la empresa antes de proteger las cuentas que más valoran los atacantes.
¿Están las passkeys reemplazando a MFA?
En muchos casos, las passkeys mejoran los flujos tradicionales de contraseña más código en lugar de simplemente añadir otra notificación. Pueden ofrecer una autenticación robusta con menos fricción porque el dispositivo almacena la credencial y el usuario aprueba su uso de forma local. Eso no elimina la necesidad de gobernanza. Siguen siendo necesarias reglas de inscripción, recuperación, revocación, higiene del dispositivo y decisiones claras sobre dónde deben aplicarse primero los métodos más robustos.
Fuentes
Digital Identity Guidelines: Authentication and Authenticator Management (NIST). Definitions of authentication factors, phishing-resistant authentication, syncable authenticators, out-of-band methods, and account recovery.
Multi-factor authentication for your corporate online services (NCSC). Practical guidance on MFA strength, recommended methods, protection of sensitive data, and anti-patterns.
Not all types of MFA are created equal... (NCSC). Practical explanation that MFA still matters but some methods are much stronger than others, especially against phishing.
Passkeys: what you need to know (NCSC). Practical explanation of passkeys, device-based use, phishing resistance and resilience.
Protecting your admin accounts (NCSC). Guidance on protecting admin accounts, separate admin identities and recovery information.
Securing your users' accounts (NCSC). Baseline organisational guidance on using 2SV for user accounts and secure password practice.