Autenticación multifactor

La autenticación multifactor (MFA) requiere que los usuarios demuestren su identidad mediante dos o más factores independientes de distintas categorías. Aunque uno de los factores se vea comprometido (por ejemplo, debido al robo de la contraseña), la cuenta sigue protegida.

Factores de autenticación:

• Algo que sabe: contraseña, PIN, pregunta de seguridad
• Algo que tiene: teléfono, token de hardware, tarjeta inteligente
• Algo que es: huella digital, rostro, voz (biometría)

La verdadera MFA utiliza al menos dos categorías diferentes, no dos contraseñas.

TOTP genera un código de 6 dígitos que cambia cada 30 segundos mediante un secreto compartido y la hora actual (RFC 6238). Aplicaciones: Google Authenticator, Authy, Microsoft Authenticator.

TOTP es seguro frente a ataques de repetición, pero es vulnerable al phishing en tiempo real.

Las OTP basadas en SMS son prácticas, pero presentan debilidades importantes:

• Intercambio de SIM: el atacante utiliza ingeniería social para convencer al operador de transferir el número de la víctima
• Ataques SS7: interceptación de SMS por parte de actores estatales a nivel de telecomunicaciones
• Phishing en tiempo real: el atacante retransmite instantáneamente la OTP de la víctima al sitio objetivo

Las OTP por SMS son mejores que no utilizar MFA, pero constituyen la forma más débil.

Las claves de seguridad de hardware (YubiKey, Google Titan) utilizan criptografía de clave pública. El dispositivo firma un desafío vinculado al sitio web específico, lo que las hace resistentes al phishing: no funcionan en sitios falsos.

Este es el estándar de oro de la MFA.

La aplicación de autenticación envía una notificación push: "¿Aprobar el inicio de sesión desde Nueva York?" El usuario pulsa aprobar o rechazar. Es práctico, pero vulnerable a los ataques de fatiga de MFA: los atacantes envían solicitudes de aprobación repetidamente hasta que un usuario cansado aprueba una por accidente.

También llamados bombardeo de notificaciones push: el atacante tiene la contraseña y envía decenas de notificaciones push de MFA con la esperanza de que el usuario apruebe una por frustración o confusión. Contramedida: exija la coincidencia de números en la notificación push (el usuario debe introducir un código que se muestra en la pantalla de inicio de sesión).

Las passkeys (FIDO2/WebAuthn) combinan "algo que tiene" (la clave del dispositivo) con "algo que es" (el desbloqueo biométrico) en una sola credencial resistente al phishing. No se necesita contraseña. Son compatibles con las principales plataformas.

Las plataformas de identidad modernas admiten el acceso condicional: exija MFA solo cuando las señales de riesgo lo indiquen (ubicación desconocida, dispositivo nuevo, recurso sensible). La autenticación adicional mejora la experiencia de usuario y mantiene la seguridad.

Los atacantes eluden la MFA mediante:

• Phishing en tiempo real (AiTM): el proxy captura la cookie de sesión después de la MFA
• Intercambio de SIM: interceptan los códigos enviados por SMS
• Fatiga de MFA: envían notificaciones push repetidamente
• Ingeniería social al servicio de asistencia: desactivan la MFA mediante un ticket de soporte

Al implementar MFA:

• Establezca como opción predeterminada exigir MFA a todos los usuarios
• Ofrezca varias opciones de MFA, pero asegúrese de que las claves de hardware y TOTP estén disponibles
• Eduque a los usuarios sobre la fatiga de MFA: si no iniciaron sesión, deben rechazar la solicitud push
• Supervise los patrones de elusión de MFA en los registros de autenticación

¿Qué método de MFA es resistente al phishing porque vincula criptográficamente la autenticación al sitio web específico?

La MFA requiere dos factores de categorías diferentes (saber/tener/ser). Las aplicaciones TOTP son buenas; las claves de hardware (FIDO2) son las mejores porque resisten el phishing. Las OTP por SMS son las más débiles y vulnerables al intercambio de SIM. Los ataques de fatiga de MFA envían notificaciones push repetidamente; la coincidencia de números ayuda a mitigarlos. Las passkeys combinan hardware y biometría en una única credencial fluida.