MFA y su predecesora 2FA, con dos décadas de presencia creciente en el mercado, han aportado las herramientas necesarias para validar la identidad de los usuarios de sistemas tecnológicos en todas sus variantes.
Con la Autenticación Multifactor (MFA), se garantiza la protección de datos, siempre que se utilicen las guías estandarizadas y la aplicación de modelos de mejores prácticas, encaminadas a garantizar una implementación exitosa, asegurando así la máxima seguridad.
La irrupción explosiva de la inteligencia artificial junto con la evolución de la autenticación biométrica, forman parte del camino a recorrer por MFA en materia de validación de identidades para el acceso en línea.
Desde equipos de cómputo o smartphones en casa hasta los más complejos sistemas de cómputo en la nube o conexiones 24×7.
Qué es la autenticación multifactor (MFA) y cómo refuerza la seguridad
MFA es un acrónimo que significa autenticación multifactor (o Multi Factor Authentication por sus siglas en inglés).
Se trata de un mecanismo de seguridad conocido también como doble factor de autenticación. Es uno de los métodos más efectivos para proteger los activos digitales de la empresa, a través de la utilización de múltiples esquemas de verificación destinados a confirmar la identidad de un usuario.
Tipos de factores de autenticación: eligiendo el mejor método MFA
Conforme evolucionan las tecnologías de ubicación y reconocimiento, lo hacen también los factores elegidos para la autenticación.
Sus combinaciones (de dos factores en adelante), forman patrones que pueden incluir:
- Algo que el usuario tiene, un objeto físico: una llave, una tarjeta, un USB.
- Algo que el usuario sabe, como es el caso de las contraseñas.
- Algo que el usuario es, como lo son las características biométricas: huellas dactilares, voz, rostro, iris y otras.
- Algo que el usuario hace, es decir, sus manifestaciones de comportamiento: en qué orden hace las cosas o en qué horarios.
- Localización del usuario, mediante geolocalización (GPS) o direcciones IP.
Tipos de Factores de Autenticación
| Factor | Descripción |
|---|---|
| Conocimiento | Contraseñas, estructuras complejas conocidas solo por el usuario. |
| Posesión | Objetos físicos como tarjetas, llaves o tokens. |
| Biometría | Rasgos únicos e irrepetibles como huellas dactilares, rostro, voz. |
| Dispositivo | El dispositivo desde el cual se solicita el acceso, su IP como identificador. |
| Ubicación | Geolocalización mediante GPS o direcciones IP. |
En este momento hay cinco tipos de factores de autenticación que se están utilizando en forma habitual bajo el método MFA:
El primero de ellos, conocimiento, que se refiere a las muy conocidas contraseñas, como requisito de acceso. Su estructura ha evolucionado, siendo más largas, con obligada combinación de letras, números y caracteres especiales. Se supone que solo el usuario las conoce.
Posesión está en el segundo puesto. Se refiere a tener algún objeto físico, distinto del equipo desde el cual se intenta el acceso. Puede ser una tarjeta, llave o token que genera una segunda contraseña o código temporal
La biometría es la tercera. Incluye todo lo relacionado con los rasgos únicos e irrepetibles que nos diferencian de los demás: huellas, forma del rostro, voz, etc.
En cuarto lugar, el dispositivo desde el cual se solicita el acceso. Este factor se emplea con mucha frecuencia y casi de manera transparente para el usuario. Al usar el mismo equipo, su dirección IP se convierte en identificador que desbloquea el uso de diversas herramientas.
Por último, la ubicación, del dispositivo y por ende del usuario, mediante GPS.
Ventajas clave de la autenticación multifactor para proteger las cuentas
| Beneficio | Descripción |
|---|---|
| Reducción del riesgo de acceso no autorizado | MFA eleva la dificultad para los ciberatacantes, aumentando la seguridad en acceso a datos. |
| Protección contra ataques de phishing | Bloquea accesos no autorizados combinando múltiples factores de seguridad, reduciendo el phishing. |
| Cumplimiento de normativas | Ayuda a cumplir con regulaciones de protección de datos en diversos sectores. |
| Confianza de los usuarios | Mejora la percepción de seguridad y confianza en la protección de datos y cuentas. |
| Mitigación en el robo de credenciales | Con múltiples factores únicos, dificulta que un atacante obtenga acceso aun con una contraseña robada. |
Al incorporar MFA en los protocolos de seguridad de la organización, hay un aumento significativo en la protección contra amenazas cibernéticas, al mismo tiempo que se mejora la confianza de los usuarios, así como el cumplimiento (compliance) de los estándares normativos y regulatorios.
La autenticación multifactor (MFA) ofrece un abanico de ventajas clave para las empresas, entre las que destacan las siguientes:
Disminución del riesgo de acceso no autorizado
La capacidad de MFA para reducir significativamente el riesgo de acceso no autorizado a datos y sistemas confidenciales es una de sus principales ventajas.
Como se requieren varias iteraciones de verificación, con MFA se eleva el nivel de dificultad para que los ciberatacantes obtengan información de acceso a partir de credenciales robadas.
Protección contra ataques de phishing
Los ataques de phishing suelen tener como punto de partida los mecanismos de engaño que usan los ciberdelincuentes para la revelación de contraseñas por parte de los usuarios.
Pero con MFA no basta con disponer de las contraseñas para provocar accesos no autorizados, ya que son apenas una primera capa de seguridad. Al conjugar estas con un segundo y tercer factor de verificación, se bloquea el acceso de los atacantes a los sistemas o a las cuentas, conjurando así el avance del phishing.
Las medidas de seguridad propias de MFA disminuyen la cantidad de ataques que resultan en accesos no autorizados, porque conocer la contraseña no es suficiente. El bloqueo al acceso de los atacantes se logra con el segundo o el tercer factor de verificación.
Cumplimiento de normativas
Varios sectores de actividad económica, financiera y sanitaria están estrictamente reglamentados en cuanto a protección de datos.
Estándares y regulaciones como los exigidos por RGPD (protección de datos personales), HIPAA (protección de información sanitaria) o PCI DSS (protección de información de transacciones financieras), demandan la utilización de métodos de autenticación robustos, como MFA.
Usuarios con más confianza
La percepción de confianza a partir de datos y cuentas mejor protegidos gracias a la MFA y múltiples medidas de seguridad, da como resultado un mayor nivel de compromiso y de lealtad.
Mitigación en el robo de credenciales
Gracias a que MFA necesita de múltiples factores únicos para el acceso, aun cuando el atacante obtenga una contraseña, debe pasar por la segunda o tercera capa de autenticación, donde es muy improbable que se logre el robo de credenciales.
Guía paso a paso para implementar MFA en la organización
Igual que sucede con cualquier otro proyecto de implementación tecnológica al interior de una organización, una evaluación previa de las necesidades que lo justifiquen es indispensable.
De la mano con una asignación presupuestal, la determinación del tiempo estimado para su desarrollo y puesta en marcha. Sin olvidar la designación de responsables y los mecanismos para el cumplimiento de políticas internas.
En términos muy generales, los pasos a cubrir para implementar MFA son:
- Llevar a cabo un análisis de riesgos para identificar los procesos o áreas más sensibles en la organización, aquellos donde se necesite mayor protección. Luego, la determinación de cuales precisan de la implementación de MFA.
2. Seleccionar los métodos de autenticación acordes con las características y necesidades de la organización. Incluso, la cultura corporativa y la disponibilidad física de ciertos dispositivos son relevantes.
3. Sensibilización y formación para los empleados es un paso relevante, que puede mejorar considerablemente la probabilidad de éxito en la implantación de MFA, siempre que comprendan la importancia de MFA y cómo utilizarla.
4. Un programa de monitoreo y pruebas periódicas para identificar y corregir problemas en el funcionamiento de MFA, garantiza que sea parte de los protocolos de ciberseguridad exitosos.
MFA frente a otros métodos de autenticación. ¿Por qué es más seguro?
Cierto, MFA es un método más seguro que otros, pero no es infalible. Es más seguro que 2FA (autenticación por medio de 2 factores) e indudablemente es mucho mejor que utilizar solo contraseñas.
De hecho, el enfoque más actualizado hace énfasis en que MFA debe ser considerado como un componente más en una estructura integral de defensa profunda, con varios niveles.
Según el informe M-Trends 2024 del equipo de inteligencia de amenazas Mandiant -subsidiaria de Google-, los ciberdelincuentes están desarrollando nuevas técnicas, como los ataques Adversary-in-the-Middle (AiTM), mecanismo para eludir la MFA.
Razón por la cual la respuesta de las empresas es mejorar los métodos de MFA para incrementar su resistencia ante el phishing. Esto requiere de los usuarios aportar pruebas adicionales de ser quienes dicen ser ante inicios de sesión sospechosos.
Entre los mecanismos que los ciberdelincuentes están aplicando para invalidar o eludir la MFA se encuentran:
Intercambio de SIM o SIM Swapping: donde se compromete la MFA basada en SMS (mensajes de texto), mediante la transferencia del número telefónico de la víctima al atacante.
El bombardeo push: los atacantes roban la contraseña de un usuario y comienzan un flujo de notificaciones MFA.
Robo de sesión: es una apropiación de cookies de sesión posterior a la autenticación, inutilizando la MFA.
Ingeniería social pura: Aprovechando una posible verificación de identidad inadecuada, sin presencia física, debido a que casi todas las organizaciones permiten el restablecimiento de contraseñas y MFA para empleados remotos.
Cómo gestionar y mantener la autenticación multifactor en la empresa
MFA agrega un componente de seguridad en el contexto de una estrategia o programa de ciberseguridad de gran alcance. Debiera ser parte de lo que se conoce como defensa profunda, integrada por varias capas de protección.
Los intentos exitosos de vulneración y de elusión de la MFA son más frecuentes cada vez. Del lado de los atacantes, se están desarrollando métodos diversos para superar las barreras que les dificultan sus engaños y robos de credenciales.
De tal manera que la gestión y mantenimiento de la MFA en una organización, al ser una buena protección, pero no infalible, requiere de otros componentes para reducir la probabilidad de un ciberataque.
La realización de pruebas periódicas para validar el funcionamiento de MFA es una de las fórmulas para darle mantenimiento.
Al igual que las simulaciones de incidentes, que ayudan a probar qué tan robusto es el sistema de autenticación.
Contar con un plan de respaldo en caso de fallas de la MFA permite mantener un nivel de protección aceptable, en tanto se resuelve la problemática en cuestión.
Sin dejar de lado el proceso de formación continua para los empleados, con especial atención en la importancia de usar correctamente la MFA.
FAQs | Preguntas y Respuestas
¿Cómo elegir el mejor método MFA para mi empresa?
Tomando en consideración elementos como los riesgos de seguridad en la empresa; sus necesidades; sus capacidades y habilidades técnicas, así como las preferencias de los usuarios.
¿Qué hacer si los empleados tienen problemas con MFA?
Simplificar el proceso para quienes experimentan rechazo a MFA o dificultades de acceso. La capacitación periódica con apoyos visuales, un esquema de ayuda personalizada y mecanismos de retroalimentación para hacer más amigable el proceso, son recomendables.
¿Puedo integrar MFA con sistemas de terceros?
Si, es posible. Se puede integrar MFA con sistemas de terceros; de hecho, es una de las prácticas usuales para empresas que utilizan por ejemplo SaaS (Software as a Service), Salesforce, Google docs y otras aplicaciones en la nube.
¿Cómo gestionar MFA a gran escala en la organización?
Asegurándose de tener convergencia de múltiples tecnologías de acceso unificadas en una plataforma inteligente; así como aprendizaje automático para evaluar continuamente los niveles de confianza y los riesgos en los dispositivos (conocida como autenticación adaptativa).
