La autenticación multifactor, también conocida como MFA por sus siglas en inglés, es un método de seguridad que exige más de una prueba para confirmar que una persona realmente es quien dice ser al iniciar sesión.
En lugar de depender solo de una contraseña, MFA combina distintos factores: algo que sabes, algo que tienes o algo que eres. Por eso, si una contraseña se filtra o alguien la adivina, todavía necesita superar una segunda barrera.
Es una de las medidas más importantes para proteger correo electrónico, cuentas bancarias, redes sociales, servicios en la nube, plataformas educativas, paneles de administración y herramientas de trabajo.
Qué significa MFA
MFA significa multifactor authentication, o autenticación multifactor. La idea central es simple: una cuenta no debería depender de una sola credencial.
Los factores de autenticación suelen agruparse en tres tipos:
- Algo que sabes: una contraseña, PIN o frase secreta.
- Algo que tienes: un teléfono, una aplicación autenticadora, una llave física de seguridad o un dispositivo autorizado.
- Algo que eres: una huella digital, reconocimiento facial u otro dato biométrico usado localmente por el dispositivo.
Un ejemplo común es iniciar sesión con contraseña y luego aprobar un código en una aplicación autenticadora. Otro ejemplo más fuerte es usar una llave física o una passkey basada en estándares FIDO.
Por qué una contraseña ya no alcanza
Las contraseñas siguen siendo necesarias en muchos servicios, pero tienen debilidades conocidas. Se reutilizan, se filtran en brechas de datos, se capturan mediante phishing y muchas veces son más simples de lo que deberían.
Cuando una persona usa la misma contraseña en varios sitios, una filtración en un servicio puede abrir la puerta a otros. Esto se conoce como credential stuffing: probar credenciales filtradas en múltiples plataformas para ver dónde funcionan.
MFA reduce ese riesgo porque agrega otra prueba. Aunque el atacante tenga la contraseña, no necesariamente tendrá el segundo factor.
No todos los métodos MFA son igual de seguros
Este punto es clave. Activar MFA casi siempre mejora la seguridad, pero no todos los métodos ofrecen el mismo nivel de protección.
Una jerarquía razonable, de más fuerte a más débil, sería:
- Llaves físicas de seguridad y passkeys FIDO/WebAuthn: ofrecen protección resistente al phishing porque la autenticación está vinculada criptográficamente al sitio legítimo.
- Aplicaciones autenticadoras con aprobación o número coincidente: son una mejora importante frente a SMS, especialmente si evitan aprobar inicios por error.
- Códigos temporales de aplicaciones autenticadoras: son útiles, aunque pueden ser capturados si el usuario cae en una página falsa.
- Códigos por SMS o correo electrónico: son mejores que no tener MFA, pero más débiles por riesgos como SIM swapping, interceptación, acceso al correo o ingeniería social.
CISA recomienda avanzar hacia métodos resistentes al phishing cuando sea posible. No significa que todo usuario deba comprar una llave física de inmediato, pero sí conviene entender que “tener MFA” no siempre equivale al mismo nivel de seguridad.
Qué son las passkeys
Las passkeys son credenciales modernas basadas en estándares FIDO que permiten iniciar sesión usando el método con el que desbloqueas tu dispositivo: huella, rostro, PIN o patrón. A diferencia de una contraseña tradicional, una passkey no se escribe ni se comparte con el sitio.
Desde el punto de vista técnico, las passkeys usan criptografía de clave pública. El servicio guarda una clave pública y el dispositivo conserva la clave privada. En el inicio de sesión, el dispositivo demuestra que posee esa clave privada sin revelarla.
Esto las vuelve resistentes al phishing: si el usuario está en un sitio falso, la credencial no debería funcionar porque está asociada al dominio legítimo.
MFA y phishing: el punto delicado
El phishing busca engañar al usuario para que entregue credenciales o apruebe una acción. Algunos métodos de MFA pueden ser vulnerables a ese engaño.
Por ejemplo, si alguien recibe un código SMS y lo escribe en una página falsa, el atacante puede intentar usarlo rápidamente. También existe el cansancio por notificaciones: múltiples solicitudes de aprobación hasta que la víctima acepta una por error.
Por eso, cuando se habla de MFA moderno, cada vez se insiste más en métodos resistentes al phishing, como FIDO/WebAuthn, llaves físicas y passkeys.
Qué cuentas deberías proteger primero
Si no puedes activar MFA en todo al mismo tiempo, conviene priorizar:
- Correo principal: suele ser la llave para recuperar otras cuentas.
- Cuentas bancarias y billeteras digitales: por impacto financiero directo.
- Gestores de contraseñas: porque concentran credenciales sensibles.
- Cuentas de nube: Google Drive, iCloud, OneDrive, Dropbox u otras.
- Paneles de administración: WordPress, hosting, dominios, tiendas online y plataformas educativas.
- Redes sociales profesionales: LinkedIn, canales de marca o cuentas con alcance público.
En el caso de un blog, por ejemplo, es especialmente importante proteger el administrador de WordPress, el correo asociado, el hosting y la cuenta donde se gestionan dominios. Una sola cuenta comprometida puede afectar publicaciones, enlaces, reputación y datos.
Buenas prácticas al activar MFA
Activar MFA es importante, pero también hay que configurarlo con cuidado:
- Guardar códigos de recuperación en un lugar seguro.
- No depender de un único dispositivo sin plan de respaldo.
- Evitar SMS si el servicio ofrece una opción más fuerte.
- No aprobar solicitudes de inicio de sesión que no iniciaste.
- Revisar periódicamente dispositivos conectados y sesiones abiertas.
- Usar contraseñas únicas junto con MFA, no como reemplazo de buenas contraseñas.
MFA no elimina todos los riesgos, pero sube mucho la dificultad para quien intenta entrar sin autorización.
Para estudiantes de informática: por qué esto importa técnicamente
Desde el punto de vista técnico, MFA obliga a pensar la autenticación como un proceso, no como un simple campo de contraseña.
Al diseñar o evaluar sistemas, conviene preguntarse:
- ¿Qué ocurre si la contraseña se filtra?
- ¿Hay protección para cuentas administrativas?
- ¿Se puede recuperar una cuenta sin debilitar la seguridad?
- ¿El segundo factor resiste phishing o solo agrega un código copiable?
- ¿Cómo se registran los intentos fallidos o sospechosos?
- ¿Qué pasa si el usuario pierde su dispositivo?
Estas preguntas muestran que la seguridad no se resuelve solo con una pantalla de login. Hay diseño, gestión de identidad, experiencia de usuario, recuperación, monitoreo y evaluación de riesgo.
Conclusión
La autenticación multifactor es una de las medidas más efectivas para proteger cuentas. No reemplaza las contraseñas fuertes ni el criterio del usuario, pero reduce de manera significativa el impacto de contraseñas robadas, filtradas o reutilizadas.
La recomendación práctica es clara: activar MFA en las cuentas importantes y, cuando sea posible, elegir métodos resistentes al phishing como passkeys, WebAuthn o llaves físicas de seguridad. Para quien estudia informática, entender MFA también permite comprender mejor cómo se diseñan sistemas de autenticación más seguros.