Puntos clave
- La autenticación multifactor bloquea más del 99.2% de los ataques de robo de cuentas, según mediciones de Microsoft.
- Las apps autenticadoras y las llaves físicas FIDO2 ofrecen mucha más protección que el código por SMS.
- Microsoft ya exige MFA de forma obligatoria para iniciar sesión en los portales de administración de Azure y Microsoft 365.
- Hoy el MFA es un requisito frecuente para contratar pólizas de ciberseguro y para cumplir normativas de protección de datos.
- Un MSP puede convertir el MFA en un servicio recurrente que protege a sus clientes y genera ingresos estables.
La autenticación multifactor es un método de acceso que exige comprobar la identidad con dos o más pruebas independientes antes de dejar entrar a una cuenta: algo que sabes, como la contraseña, y algo que tienes o que eres, como un código en el teléfono o tu huella digital. Su valor es simple de explicar al dueño de un negocio: aunque le roben la contraseña a un empleado, el atacante se queda a mitad de camino.
En RealMovil llevamos desde 2005 acompañando a proveedores de servicios de TI, y hay pocas medidas con un retorno tan claro como esta. La autenticación multifactor es, hoy, la defensa más rentable que puedes activar frente al robo de credenciales, y en este artículo te explicamos cómo funciona, qué tipos existen, cómo desplegarla en Microsoft 365 y cómo convertirla en un servicio para los clientes de tu MSP.
Qué es la autenticación multifactor y cómo detiene los ataques de credenciales
La mayoría de los ataques no empiezan con un hacker rompiendo un sistema. Empiezan con una contraseña robada. El correo de phishing, la base de datos filtrada o el malware que registra lo que escribes: todos buscan lo mismo, las credenciales de un usuario legítimo para entrar sin levantar sospechas.
Ahí es donde la autenticación multifactor cambia las reglas. Al pedir un segundo factor que el atacante no tiene, el acceso se corta aunque la contraseña sea correcta. Las cifras de la industria lo confirman: según la investigación de Microsoft, el MFA bloquea más del 99.2% de los ataques de robo de cuentas (Microsoft Learn).
Los tres factores clásicos se combinan de la siguiente forma:
- Algo que sabes: la contraseña o un PIN.
- Algo que tienes: el teléfono, una app autenticadora o una llave física.
- Algo que eres: la huella digital, el rostro u otro dato biométrico.
La fuerza del MFA está en mezclar categorías distintas. Pedir una contraseña y luego una pregunta de seguridad no suma mucho, porque ambas son «algo que sabes». Pedir contraseña más un factor físico eleva la barrera de verdad.
Tipos de MFA: SMS, apps autenticadoras, llaves físicas y biometría
No todos los segundos factores protegen igual. Conocer las diferencias te ayuda a recomendar la opción correcta a cada cliente según su nivel de riesgo.
Código por SMS
Es el método más conocido: un mensaje de texto con un código temporal. Tiene la ventaja de que funciona en cualquier teléfono, pero es el eslabón más débil. El número se puede interceptar o secuestrar mediante el intercambio de SIM, una técnica en la que el atacante transfiere la línea a su propio dispositivo. Sirve como punto de partida, no como meta.
Apps autenticadoras
Aplicaciones como Microsoft Authenticator o Google Authenticator generan un código que cambia cada pocos segundos dentro del propio teléfono, sin depender de la red celular. Son gratuitas, fáciles de desplegar y ofrecen una protección muy superior a la del SMS. Para la mayoría de las pymes, este es el equilibrio ideal entre seguridad y comodidad.
Llaves físicas
Una llave de hardware que cumple el estándar FIDO2 se conecta por USB o se acerca al teléfono para confirmar la identidad. Es el método más resistente al phishing, porque la llave verifica criptográficamente que estás en el sitio correcto y no en una página falsa. Es la mejor opción para administradores, directivos y cualquier cuenta con privilegios altos.
Biometría
La huella digital y el reconocimiento facial usan algo único de la persona. Son muy cómodos porque eliminan la fricción de teclear un código, y suelen combinarse con un dispositivo de confianza. Funcionan muy bien como factor dentro de un esquema sin contraseña, que es hacia donde se mueve la industria.
Cómo desplegar MFA en Microsoft 365 y aplicaciones críticas
Microsoft 365 es, para muchas empresas mexicanas, el corazón del trabajo diario: correo, archivos, Teams. Proteger ese acceso es la prioridad número uno, y la buena noticia es que las herramientas ya vienen incluidas en la mayoría de los planes.
El despliegue ordenado sigue estos pasos:
- Empieza por las cuentas de administrador. Son el blanco más codiciado, porque quien controla al administrador controla todo el inquilino. Para estas cuentas, usa una llave FIDO2 o autenticación por certificado.
- Activa el MFA para todos los usuarios. Con una licencia Microsoft Entra ID P1 o P2 puedes configurar una política de Acceso Condicional que exija el segundo factor según el riesgo del inicio de sesión.
- Comunica y capacita antes de encender. El rechazo del usuario suele venir de la sorpresa, no de la tecnología. Una breve sesión de capacitación evita llamadas a soporte y resistencia interna.
- Extiende el MFA a las demás aplicaciones críticas: el VPN, el panel de banca empresarial, el sistema contable y cualquier herramienta expuesta a internet.
Un punto que ya no puedes ignorar: Microsoft hizo obligatorio el MFA para iniciar sesión en los portales de administración. Desde octubre de 2024 se exige en el portal de Azure, el centro de administración de Microsoft Entra y el de Intune, y desde febrero de 2025 en el centro de administración de Microsoft 365. Una segunda fase, que arrancó el 1 de octubre de 2025, lo extiende a Azure CLI, Azure PowerShell y las API de administración (Microsoft Learn). Si administras inquilinos de clientes, esto ya te aplica.
MFA como requisito de cumplimiento y de pólizas de ciberseguro
Hace unos años el MFA era una recomendación. Hoy es, cada vez más, una obligación por escrito.
Las aseguradoras cambiaron las reglas. Después de una ola de reclamos por ransomware, las pólizas de ciberseguro empezaron a exigir controles mínimos, y el MFA encabeza esa lista. En la práctica, muchas empresas descubren que sin autenticación multifactor en el correo y en los accesos remotos, la prima sube o la cobertura simplemente no se otorga.
En el terreno normativo pasa algo parecido. Los marcos de protección de datos y las buenas prácticas de seguridad tratan al control de acceso como un pilar, y el segundo factor es la forma más directa de demostrar que proteges las credenciales. Para una empresa que maneja datos de clientes en México, poder documentar que hay MFA activo es parte de una postura de cumplimiento defendible. Si tu cliente opera bajo requisitos regulatorios, conviene enmarcar el MFA dentro de un plan más amplio: nuestra guía de cumplimiento normativo de TI en México te da el contexto completo.
El mensaje para el dueño de negocio es claro: el MFA dejó de ser un gasto opcional de TI. Es un requisito de negocio que condiciona seguros, contratos y auditorías.
Cómo ofrecer e imponer MFA en los clientes de tu MSP
Aquí es donde la autenticación multifactor pasa de ser una tarea técnica a convertirse en una oportunidad de negocio para tu empresa. Un MSP no solo activa el MFA: lo despliega, lo vigila y se asegura de que nadie lo apague. Ese «asegurarse» es un servicio recurrente que el cliente valora y por el que paga mes a mes.
Desde una plataforma como N-able, que es la base sobre la que trabajamos en RealMovil, puedes administrar la autenticación de muchos clientes desde un solo lugar y lograr cuatro cosas concretas:
- Estandarizar la política para que todos los clientes arranquen con el mismo nivel mínimo de seguridad, sin excepciones silenciosas.
- Desplegar a escala sin visitar cada equipo, empujando la configuración de forma remota.
- Monitorear el cumplimiento y detectar al instante la cuenta que quedó sin MFA o el usuario que lo desactivó.
- Documentar y reportar para mostrarle al cliente, con evidencia, que su acceso está protegido.
Imponer el MFA no significa pelear con el usuario. Significa diseñar una política sensata, con excepciones controladas y temporales, y respaldarla con comunicación. La parte estratégica es tuya: tú defines el estándar, tú lo haces cumplir y tú respondes cuando algo falla.
Ofrecer MFA administrado encaja de forma natural dentro de un paquete de seguridad más amplio, junto con detección de amenazas y respaldo. Si quieres ver cómo se arma esa oferta completa, revisa cómo convertirte en proveedor de seguridad gestionada (MSSP).
El siguiente paso
Si administras la TI de otras empresas, abre hoy la lista de tus clientes y marca cuáles ya tienen MFA activo en el correo y en los accesos de administrador. Esa lista, con las casillas que todavía están vacías, es tu plan de trabajo para las próximas semanas y, muy probablemente, tu próxima conversación de venta. En RealMovil te ayudamos a desplegar y administrar la autenticación multifactor de todos tus clientes desde la plataforma de N-able, para que trabajes con menos esfuerzo y ofrezcas un servicio que protege de verdad. Acércate a nosotros y lo armamos juntos.
Preguntas frecuentes
¿Qué diferencia hay entre MFA y autenticación de dos factores (2FA)?
El 2FA usa exactamente dos factores, por ejemplo contraseña más código del teléfono. El MFA es el término general: puede usar dos o más factores. Todo 2FA es MFA, pero el MFA permite sumar más capas.
¿El código por SMS es seguro como segundo factor?
Es mejor que no tener nada, pero es el método más débil porque el número se puede interceptar o secuestrar con un cambio de SIM. Para cuentas críticas conviene usar una app autenticadora o una llave física.
¿El MFA elimina por completo el riesgo de que roben una cuenta?
No existe la seguridad absoluta, pero reduce el riesgo de forma drástica. Aunque un atacante tenga la contraseña, sin el segundo factor no puede completar el acceso.
¿Puedo ofrecer MFA como servicio administrado a mis clientes?
Sí. Un MSP puede desplegar, monitorear y hacer cumplir políticas de MFA en los clientes desde una plataforma central, y cobrarlo como parte de su paquete de seguridad administrada.
