¿Qué es la autenticación multifactorial? Cómo funciona la MFA y en qué casos falla

La autenticación multifactorial (MFA) es un método de inicio de sesión que solicita al menos dos tipos diferentes de verificación antes de permitir el acceso: algo que sabes, como una contraseña; algo que tienes, como tu teléfono; o algo que eres, como tu huella dactilar. De este modo, una contraseña robada por sí sola ya no basta para hacerse con el control de una cuenta. Esto convierte a la MFA en una de las medidas de seguridad más eficaces que una organización puede activar.

Pero la autenticación multifactorial (MFA) no es un campo de fuerza. Los atacantes han aprendido a bombardear a los empleados con solicitudes de inicio de sesión hasta que alguien pulsa «aprobar», a robar cookies de sesión a través de páginas de inicio de sesión falsas y a convencer a los servicios de asistencia técnica para que restablezcan un número de teléfono. Este artículo explica cómo funciona la MFA, qué modalidades son seguras y cuáles son vulnerables, cómo la eluden los atacantes y qué esperan los organismos reguladores del Reino Unido, la UE y EE. UU.

Cómo funciona la autenticación multifactorial

Cada factor de inicio de sesión pertenece a una de estas tres categorías. La autenticación multifactorial (MFA) solo se considera tal cuando los factores pertenecen a categorías diferentes; dos contraseñas siguen siendo un único factor.

• Algo que tú sabes. Una contraseña, un PIN o la respuesta a una pregunta de seguridad.
• Algo que tengas. Un teléfono con una aplicación de autenticación, una llave de seguridad física o una tarjeta inteligente.
• Algo que te identifica. Una huella dactilar, un escaneo facial u otra característica biométrica, que normalmente se verifica en tu propio dispositivo.

La autenticación de dos factores (2FA) es, sencillamente, la autenticación multifactorial (MFA) con exactamente dos factores y, en la práctica, ambos términos se utilizan indistintamente. Lo que importa más que el número de factores es el grado de resistencia de cada uno de ellos frente al phishing y la manipulación.

Formas de MFA, de la más débil a la más fuerte

1. Códigos por SMS y de voz. Son mejores que una contraseña por sí sola, pero son vulnerables al «swapping de SIM», una técnica en la que un delincuente convence a un operador de telefonía móvil para que transfiera tu número a su tarjeta SIM.
2. Códigos por correo electrónico. Su seguridad depende de la del buzón, que a menudo está protegido por la misma contraseña que ya tiene el atacante.
3. Códigos de la aplicación de autenticación. Un código de seis dígitos que cambia cada 30 segundos. Es mucho más seguro que los SMS, pero un empleado aún podría introducirlo en una página de inicio de sesión falsa.
4. Notificaciones push con verificación de número. La aplicación te pide que confirmes el inicio de sesión y que introduzcas el número que aparece en pantalla. Esto evita las aprobaciones a ciegas, aunque un atacante decidido aún podría intentar guiar a alguien para que lo haga.
5. Claves de acceso y claves de seguridad. Basadas en el estándar FIDO2, solo funcionan en la página web auténtica, por lo que una página de phishing no obtiene ningún dato. Esto es lo que las agencias de seguridad denominan «autenticación multifactorial (MFA) resistente al phishing».

Cómo eluden los atacantes la autenticación multifactorial (MFA)

• Cansancio por la autenticación multifactorial (MFA). Con una contraseña robada, el atacante genera una solicitud de inicio de sesión tras otra, a menudo por la noche, hasta que el empleado aprueba una de ellas solo para que dejen de llegar las notificaciones.
• Phishing de «adversario en el medio». Una página de inicio de sesión falsa reenvía toda la información al sitio web auténtico en tiempo real, incluido el código de autenticación multifactorial (MFA), y roba la cookie de sesión que mantiene a la víctima conectada. Nuestro resumen de los tipos de ataques de phishing muestra lo convincentes que se han vuelto estas páginas.
• Suplantación de tarjeta SIM. El atacante se hace con el control del número de teléfono de la víctima y recibe los códigos por SMS.
• Ingeniería social en el servicio de asistencia técnica. Una persona que llama por teléfono se hace pasar por un empleado que «ha perdido el móvil» y pide al servicio de asistencia técnica que registre un nuevo dispositivo. Funciona con sorprendente frecuencia, ya que el personal de estos servicios está formado para ayudar.

Lo que estas técnicas tienen en común es que no vulneran la tecnología. Lo que hacen es convencer a la persona para que permita el acceso al atacante. Por eso la autenticación multifactorial (MFA) y la sensibilización van de la mano.

Fatiga de MFA: cuando un empleado autoriza al atacante

La «fatiga MFA», también conocida como «push bombing», saltó a la fama en 2022, cuando un atacante logró acceder a la red de Uber de esta forma. Tras un aluvión de solicitudes de notificaciones push, el atacante se puso en contacto con el empleado a través de WhatsApp, haciéndose pasar por el servicio de asistencia informática, y le dijo que las notificaciones cesarían en cuanto se aprobara una de ellas. El empleado la aprobó y el atacante consiguió acceder al sistema.

La defensa es, en parte, técnica y, en parte, humana. La comprobación de números y los límites a las solicitudes repetidas dificultan el ataque. Igualmente importante es una regla sencilla que todos los empleados se saben de memoria: nunca apruebes un inicio de sesión que no hayas iniciado tú mismo y comunica de inmediato cualquier solicitud inesperada de autenticación multifactorial (MFA), ya que eso significa que alguien ya tiene tu contraseña.

Lo que esperan las autoridades reguladoras: la MFA en el Reino Unido, la UE y EE. UU.

• Reino Unido. Cyber Essentials exige la autenticación multifactorial (MFA) para los servicios en la nube siempre que esté disponible, y el NCSC la recomienda para todas las cuentas importantes.
• Unión Europea. La NIS2 incluye explícitamente la autenticación multifactorial entre las medidas de seguridad que deben tener en cuenta las entidades esenciales e importantes, y el RGPD exige la adopción de medidas técnicas adecuadas para proteger los datos personales. En España, el Esquema Nacional de Seguridad (ENS) exige la autenticación multifactor para el acceso a muchos sistemas del sector público, y el INCIBE la recomienda a todas las empresas.
• Estados Unidos. La CISA insta a las organizaciones a adoptar la autenticación multifactorial (MFA) resistente al phishing, y la Norma de Salvaguardias de la FTC exige la autenticación multifactorial (MFA) a muchas entidades financieras que gestionan datos de clientes.

La tendencia es la misma en todas partes: la autenticación multifactorial (MFA) se está convirtiendo en un requisito básico, y los organismos reguladores preguntan cada vez más no solo si está activada, sino también si es resistente al phishing y si los empleados saben cómo utilizarla de forma segura.

Cómo implantar la autenticación multifactorial (MFA) en cinco pasos

1. Empieza por las cuentas más importantes: el correo electrónico, el acceso remoto, las cuentas de administrador, los sistemas financieros y cualquier cosa a la que se pueda acceder desde Internet.
2. Elige el método más seguro que los usuarios vayan a utilizar realmente. Aplicaciones de autenticación con la coincidencia de números como estándar, claves de acceso o llaves de seguridad para administradores y puestos de alto riesgo.
3. Reforzar el servicio de asistencia técnica. Acordar cómo debe acreditarse la identidad de una persona antes de restablecer o volver a registrar un dispositivo, y cumplir con lo acordado, incluso en el caso del director general.
4. Explica el porqué y las normas. Los empleados que comprenden lo que es la «fatiga de la autenticación multifactorial» y saben reconocer las páginas de inicio de sesión falsas son capaces de detectar un ataque cuando lo ven.
5. Supervisa y mantén la formación. Presta atención a los casos de solicitudes de autenticación multifactorial (MFA) que se rechacen o fallen repetidamente, y mantén al día las normas mediante sesiones de formación breves y periódicas.

El consejo: desarrolla el lado humano de MFA con Guardey

Guardey se asegura de que los empleados sepan qué hacer cuando se pone a prueba la autenticación multifactorial (MFA). Cada semana reciben un reto de unos tres minutos, en su ordenador portátil o en la aplicación móvil para iOS y Android, sobre temas como solicitudes de inicio de sesión inesperadas, páginas de inicio de sesión falsas, estafas del servicio de asistencia técnica y buenas prácticas en el manejo de contraseñas. La gamificación, con tablas de clasificación y rachas de aciertos, mantiene el interés de los usuarios; las simulaciones de phishing comprueban si detectan una página de inicio de sesión falsa; y los informes listos para auditorías muestran tu progreso en relación con las normas NIS2 e ISO 27001. Más de 500 organizaciones, entre ellas el Parlamento Europeo, ya utilizan Guardey. Descubre cómo funciona nuestra formación en concienciación sobre seguridad.

¿Colaboras con un socio de TI? No te limites a preguntar solo por cómo activar la autenticación multifactorial (MFA)

Muchas organizaciones confían la gestión de sus cuentas de Microsoft 365, sus dispositivos y su seguridad a un proveedor de servicios gestionados (MSP): una empresa de TI que se encarga de la gestión informática de otras empresas a cambio de una cuota mensual. Para la mayoría de los MSP, implementar la autenticación multifactorial (MFA) es una tarea rutinaria. Sin embargo, los ataques que logran burlar la MFA se dirigen a las personas que la utilizan, no a la configuración. Si un MSP gestiona tu infraestructura informática, pregúntale cómo te protege contra el cansancio de la MFA y las páginas de inicio de sesión falsas. Para los MSP, la formación es la segunda parte natural de un servicio de MFA.

Una de las formas en que los MSP pueden ofrecer Guardey es a través de e92plus, un distribuidor de ciberseguridad cuya cartera también abarca la gestión de identidades, accesos y contraseñas. Sus ingenieros internos prestan apoyo a los socios desde la demostración hasta la implementación, de modo que la autenticación y la sensibilización pueden venderse y prestarse como un único servicio.

Preguntas frecuentes sobre la autenticación multifactorial

¿La autenticación multifactorial (MFA) es lo mismo que la autenticación de dos factores (2FA)?

Casi. La autenticación de dos factores utiliza exactamente dos factores, mientras que la autenticación multifactorial puede utilizar dos o más. En el uso cotidiano, ambos términos significan lo mismo: una segunda prueba de identidad además de la contraseña.

¿Se puede piratear la autenticación MFA?

La autenticación multifactorial (MFA) en sí misma rara vez se vulnera, pero se puede eludir. Los métodos más habituales son el «cansancio de la MFA», las páginas de inicio de sesión falsas que roban las cookies de sesión, el intercambio de tarjetas SIM y el engaño al servicio de asistencia técnica. Los métodos resistentes al phishing, como las claves de acceso, combinados con empleados debidamente formados, detienen la mayoría de estos ataques.

¿Qué es la «fatiga de la autenticación de dos factores»?

La «fatiga de MFA» es un ataque en el que un delincuente que ya conoce la contraseña de alguien envía repetidas solicitudes de inicio de sesión hasta que la víctima, molesta o confundida, aprueba una de ellas. La regla para evitarlo es sencilla: nunca apruebes una solicitud que no hayas iniciado tú mismo y denúnciala.

¿Qué es la autenticación multifactorial (MFA) resistente al phishing?

La autenticación multifactorial (MFA) resistente al phishing utiliza claves de acceso o llaves de seguridad de hardware basadas en el estándar FIDO2. El inicio de sesión está vinculado criptográficamente al sitio web auténtico, por lo que una página falsa no puede capturar ningún dato útil. Organismos de seguridad como la CISA y el NCSC la recomiendan, especialmente para los administradores.

La autenticación multifactorial (MFA) sigue siendo una de las mejores inversiones en seguridad que puede realizar una organización. Funciona mejor cuando las personas que pulsan «aprobar» saben cuándo no deben hacerlo.