MFA exige pruebas de categorías diferentes
La autenticación multifactor, o MFA, verifica una identidad con al menos dos factores de categorías distintas: algo que sabes, algo que tienes y algo que eres. Una contraseña más dos preguntas secretas sigue usando conocimiento y no es multifactor real. La combinación busca que robar una credencial no baste para entrar. No vuelve imposible el ataque, pero obliga al adversario a superar barreras independientes. La protección real depende menos de añadir pantallas que de combinar factores independientes y resistentes al tipo de ataque esperado.
Entre los factores de posesión están una llave de seguridad, un teléfono o un autenticador criptográfico; entre los inherentes, huella o rostro. La biometría suele desbloquear una clave guardada en el dispositivo en lugar de enviarse al servidor. Ubicación, dirección IP o comportamiento pueden aportar señales de riesgo, pero no siempre cuentan como factores de autenticación porque cambian y pueden inferirse o falsificarse.
Dos pasos no siempre significan dos factores
La verificación en dos pasos describe dos comprobaciones consecutivas, aunque pertenezcan a la misma categoría. Una contraseña seguida de un código enviado a otro canal suele mejorar seguridad, pero conviene distinguir arquitectura y resistencia. SMS depende de la red telefónica y puede sufrir intercambio fraudulento de SIM, redirecciones o engaño. Un código temporal generado por aplicación evita parte de ese riesgo, aunque todavía puede entregarse a una web falsa.
Las notificaciones de aprobación son cómodas, pero un atacante puede bombardear al usuario hasta que acepte por cansancio. Mostrar número, ubicación y contexto reduce confusión. Los códigos de recuperación son credenciales de emergencia: deben almacenarse separados y revocarse después de usarlos. Si recuperar la cuenta solo exige un correo débil o preguntas fáciles, ese camino se convierte en la puerta trasera que anula el MFA principal.
No todos los factores resisten una página de phishing en tiempo real
Un sitio falso puede pedir contraseña y código y reenviarlos inmediatamente al servicio real. Así obtiene una sesión aunque el código caduque pronto. El MFA tradicional reduce reutilización de contraseñas y ataques automáticos, pero no elimina intermediarios, malware o secuestro de sesión. Por eso importa qué amenaza se quiere frenar y no solo cuántos pasos aparecen en pantalla.
Las llaves FIDO y las passkeys vinculan la credencial criptográfica al dominio legítimo. El autenticador firma un desafío para ese sitio y no entrega un secreto reutilizable. Una página con nombre parecido no puede pedir una firma válida para el dominio real, lo que ofrece resistencia al phishing. La verificación local con PIN o biometría protege el uso del dispositivo sin enviar esa biometría al servicio.
Las passkeys sustituyen la contraseña con pares de claves
Una passkey usa una clave privada protegida en el dispositivo o sincronizada mediante un gestor y una clave pública registrada en el servicio. El servidor conserva la parte pública, insuficiente para iniciar sesión por sí sola. Esto evita secretos compartidos y reduce filtraciones reutilizables. La sincronización mejora comodidad entre dispositivos, mientras las passkeys ligadas a hardware pueden ofrecer controles más estrictos en organizaciones.
El despliegue necesita compatibilidad, accesibilidad y recuperación. Obligar a un único teléfono puede excluir a quien lo pierde o comparte equipos. Las organizaciones deben permitir más de un autenticador, registrar nuevas credenciales con controles fuertes y avisar de cambios. También conviene evitar que un atacante con sesión abierta añada su propio factor sin reautenticación. La seguridad se decide tanto en altas y recuperación como en el inicio diario.
El mejor factor es el más resistente que la persona puede usar de forma fiable
Para cuentas importantes, una passkey o llave de seguridad ofrece más protección frente a phishing que SMS o códigos copiables. Cuando no esté disponible, una aplicación autenticadora sigue mejorando mucho una contraseña sola. Activar MFA primero en correo, gestor de contraseñas y cuentas financieras protege puntos capaces de recuperar otras identidades. Guardar alternativas evita quedar bloqueado sin rebajar toda la defensa.
Ningún factor reemplaza actualizaciones, control de sesiones y alertas. Si un dispositivo tiene malware o una sesión ya fue robada, el atacante puede operar después de la autenticación. MFA es una capa dentro de un sistema: reduce de forma importante accesos por credenciales filtradas, pero debe combinarse con recuperación segura y factores resistentes al engaño. Medir su calidad por número de pantallas, en vez de por independencia y amenaza, crea una falsa sensación de protección.
En entornos empresariales, imponer MFA sin revisar ataques de soporte puede desplazar al adversario hacia la mesa de ayuda. Un procedimiento que restablece factores con datos públicos anula la tecnología fuerte. Las señales de riesgo pueden exigir una comprobación adicional ante dispositivo nuevo o viaje imposible, pero deben admitir errores y accesibilidad. Registrar eventos, avisar al titular y permitir cerrar sesiones ayuda a detectar abuso. También importa la privacidad: recopilar biometría o ubicación de manera excesiva crea otro riesgo. Una arquitectura profesional elige el mínimo dato necesario, protege plantillas biométricas y ofrece alternativas equivalentes a quienes no pueden usar un factor concreto. La meta final no es demostrar que el usuario conoce más secretos, sino impedir que una credencial copiada pueda reproducirse fuera del contexto y dispositivo legítimos.
