Cada día se filtran miles de contraseñas por phishing, por brechas en otros servicios o porque los usuarios repiten la misma clave en todas partes. ¿Cuántas cuentas de tus clientes siguen protegidas solo con una contraseña?
La autenticación multifactor cierra esa puerta al exigir una segunda prueba de identidad, con lo que la contraseña robada deja de servir por sí sola. Hace años que es una buena práctica, aunque con la NIS2 y el ENS ha pasado a ser también un requisito.
En Tech2Business trabajamos con soluciones de ciberseguridad del correo electrónico que, junto a la MFA, protegen la puerta de entrada más atacada de las empresas.
¿Por qué una contraseña ya no basta para proteger una empresa?
Muchos ciberataques no necesitan hackear nada, porque basta con entrar con un usuario legítimo. Las contraseñas llegan a manos de los atacantes por varias vías:
- Phishing: correos y webs falsas que piden al usuario sus credenciales.
- Filtraciones de otros servicios: bases de datos robadas que se venden y se prueban en otras plataformas.
- Reutilización: la misma contraseña en el correo, el ERP y una tienda online.
- Fuerza bruta: pruebas automáticas de contraseñas débiles o muy habituales.
Con una de esas credenciales, el atacante entra en el correo, en Microsoft 365 o en la VPN como si fuera el empleado, y desde ahí puede lanzar un fraude, robar información o preparar un ataque de ransomware.
El correo es el punto de partida más frecuente, por lo que reforzar la seguridad del correo electrónico de tus clientes y añadir un segundo factor son dos medidas que se complementan.
Según Microsoft, la autenticación multifactor bloquea más del 99,9% de los ataques de compromiso de cuentas, mientras que para el usuario el coste se reduce a unos segundos al iniciar sesión.
¿Qué es la autenticación multifactor y qué factores combina?
La autenticación multifactor (MFA, Multi-Factor Authentication) es un método de acceso que pide al usuario dos o más pruebas de identidad de naturaleza distinta. Cuando son dos, se habla de doble factor de autenticación o verificación en dos pasos.
Su fuerza está en la combinación, ya que un atacante puede conseguir una contraseña, pero reunir el resto de factores es mucho más difícil. Por eso la identidad se ha convertido en el nuevo perímetro de seguridad, como recogen las tendencias de ciberseguridad de este año.
Algo que sabes, algo que tienes y algo que eres
Los factores de autenticación se agrupan en tres categorías:
- Algo que sabes: una contraseña, un PIN o una respuesta de seguridad.
- Algo que tienes: el móvil con una app de autenticación, una llave de seguridad o una tarjeta.
- Algo que eres: la huella dactilar, el reconocimiento facial u otro rasgo biométrico.
Para que haya MFA hay que combinar categorías distintas, por lo que una contraseña y un PIN no cuentan, ya que los dos son algo que sabes.
Métodos de MFA: del SMS a las llaves de seguridad
Los métodos tampoco ofrecen la misma protección. Estos son los más habituales, de menor a mayor robustez:
- Código por SMS: mejor que nada, aunque expuesto a la duplicación de tarjetas SIM.
- App de autenticación: genera códigos temporales en el móvil del usuario.
- Notificación push: el usuario confirma el acceso escribiendo el número que aparece en pantalla.
- Llave de seguridad: credenciales ligadas al dispositivo que resisten el phishing.
Las passkeys sustituyen la contraseña por una credencial guardada en el dispositivo del usuario, y Microsoft, Google y Apple ya las admiten en sus servicios.
¿Cuándo es obligatoria la MFA según la NIS2 y el ENS?
La MFA ha pasado de recomendación a requisito en las dos normas que más afectan hoy a muchos de tus clientes.
Qué exige la NIS2
La directiva NIS2 incluye entre sus medidas mínimas de gestión de riesgos el uso de autenticación multifactor o de autenticación continua, cuando proceda. Afecta a las entidades esenciales e importantes de 18 sectores y, a través de la cadena de suministro, también a muchos de sus proveedores tecnológicos.
Para una entidad obligada, no tener la MFA activa en sus accesos críticos es difícil de justificar ante una auditoría o después de un incidente.
Qué exige el ENS
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, refuerza los mecanismos de autenticación según la categoría del sistema. El doble factor aparece como requisito en los accesos de mayor riesgo, como los remotos o los de usuarios con privilegios, y en los sistemas de categoría Alta.
Cualquier empresa que preste servicios a la administración y deba certificarse en el ENS tendrá que revisar cómo auténtica a sus usuarios.
Dónde activarla primero
Aunque las normas no lo detallan sistema por sistema, conviene empezar por:
- Correo y Microsoft 365: la puerta de entrada más atacada.
- Accesos remotos: VPN, escritorios remotos y portales de proveedores.
- Cuentas con privilegios: administradores de sistemas, de cloud y de backup.
- Aplicaciones con datos sensibles: ERP, CRM y herramientas financieras.
¿Cómo desplegar la MFA en un cliente sin errores?
Activar la MFA es sencillo, aunque desplegarla bien en toda una empresa requiere método, y muchas cuentas siguen expuestas porque el despliegue se quedó a medias.
Los errores que dejan expuestas las cuentas
Estos son los fallos que más se repiten:
- Excepciones que nadie revisa: cuentas de servicio, directivos o usuarios antiguos que se quedaron fuera de forma «temporal».
- Protocolos heredados: accesos al correo por protocolos antiguos que no admiten el segundo factor y permiten saltárselo.
- Fatiga de notificaciones: el atacante envía avisos repetidos hasta que el usuario acepta uno por cansancio.
- Solo SMS en cuentas críticas: un método débil justo donde más riesgo hay.
- Phishing que roba la sesión: kits que capturan la sesión ya validada, frente a los que solo resisten las llaves de seguridad y las passkeys.
Por eso conviene revisar la MFA junto al resto de configuraciones de Microsoft 365 que pueden dejar expuesto a un cliente.
Despliegue paso a paso
Un despliegue ordenado de la MFA en un cliente sigue seis pasos.
1. Haz inventario de los accesos
Haz una lista de todos los servicios que usa la empresa y de quién entra en cada uno: correo, Microsoft 365, VPN, ERP, CRM, consolas de administración y aplicaciones en la nube. Este mapa suele sacar a la luz cuentas olvidadas y herramientas que nadie había registrado, como las que llegan por el shadow IT.
2. Prioriza los accesos de más riesgo
Empieza por donde más daño puede hacer una credencial robada. Lo habitual es activar primero la MFA en el correo, los accesos remotos y las cuentas con privilegios, y extenderla después al resto de aplicaciones por fases, de modo que el cambio no se alargue sin fin.
3. Elige el método según el perfil
Adapta el método al riesgo de cada usuario. Para la mayoría de la plantilla basta con una app de autenticación con notificación y número. Los administradores y los accesos más sensibles conviene protegerlos con llaves de seguridad o passkeys, que resisten el phishing, y el SMS debería quedar como último recurso.
4. Comunica el cambio a los usuarios
Explica qué va a pasar antes de activarlo. Un correo breve con la fecha, los pasos para registrar el segundo factor y a quién acudir si hay problemas evita llamadas al soporte y resistencias internas. Conviene recordar también que nunca deben aprobar una notificación que no hayan pedido, una pauta sencilla que frena los ataques de fatiga de notificaciones.
5. Bloquea los protocolos heredados
Cierra las vías que permiten saltarse el segundo factor. Los protocolos antiguos de correo y algunas aplicaciones que no admiten MFA siguen aceptando solo usuario y contraseña, así que dejarlos abiertos anula buena parte del esfuerzo. Antes de bloquearlos, comprueba qué equipos o programas los siguen usando, para no cortar ningún servicio.
6. Revisa las excepciones de forma periódica
Comprueba cada cierto tiempo qué cuentas siguen sin MFA y por qué. Las excepciones temporales, como las de cuentas de servicio o usuarios con dispositivos antiguos, tienden a quedarse para siempre si nadie las revisa. Un informe trimestral para el cliente convierte esta tarea en parte del servicio gestionado que ofrece el partner.
Implanta la autenticación multifactor en tus clientes con Hornetsecurity y Tech2Business
La autenticación multifactor protege la identidad, pero la credencial casi siempre se roba en el mismo sitio, el correo electrónico, así que conviene trabajar las dos capas a la vez.
En Tech2Business trabajamos con Hornetsecurity, que filtra el phishing y los adjuntos maliciosos antes de que lleguen al usuario y, junto a la MFA, cubre las dos vías por las que se roban y se usan las credenciales.
Te ayudamos a revisar la configuración de tus clientes, a priorizar dónde activar la MFA y a construir una propuesta que puedas ofrecer como servicio.
¿Te gustaría formar parte del canal de partners de Tech2Business?
¡Pregúntanos sin compromiso!
