¿Qué es la autentica­ción de dos factores (2FA)?

2FA: definición y factores

En la autenticación de dos factores, los usuarios acreditan su identidad con dos factores de categorías distintas: conocimiento (contraseña, PIN), posesión (smartphone, llave de seguridad) o característica propia (huella dactilar, rostro). Dos contraseñas no serían 2FA, porque ambas pertenecen a la misma categoría. Si se exigen más de dos factores, se habla de autenticación multifactor (MFA).

El motivo del método es sencillo: las contraseñas se adivinan, se capturan mediante phishing o se reutilizan tras filtraciones de datos. Con un segundo factor activo, un atacante que solo tiene la contraseña fracasa. Por eso el método figura entre las medidas individuales más eficaces para proteger las cuentas de usuario.

Los métodos habituales, comparados

No todos los segundos factores son igual de fuertes. Un código enviado por SMS es mejor que nada, pero puede interceptarse mediante SIM swapping o phishing. Los códigos de aplicaciones de autenticación (TOTP) son más robustos. Los más fuertes son los métodos basados en el estándar FIDO2, es decir, las llaves de seguridad y las passkeys: están vinculadas a la dirección real del sitio web y no pueden capturarse en páginas falsas.

• Código por SMS o correo electrónico: sencillo, pero el más fácil de burlar
• Aplicación de autenticación (TOTP): el código cambia cada 30 segundos y no requiere red móvil
• Confirmación push: cómoda, pero vulnerable a los «ataques por fatiga» con solicitudes repetidas
• Llave de seguridad de hardware (FIDO2): muy fuerte frente al phishing
• Passkeys: inicio de sesión FIDO2 con dispositivo y biometría, que sustituye a la contraseña

Ejemplo práctico: un buzón secuestrado en contabilidad

En una empresa mayorista con 40 empleados, la contable introduce su contraseña de Microsoft 365 en una página de inicio de sesión con apariencia auténtica. Sin segundo factor, los atacantes podrían hacerse con su buzón, enviar a los clientes en nombre de la empresa facturas con una cuenta bancaria modificada y configurar sin ser notados reglas de reenvío para leer las respuestas.

Con la 2FA activada, el inicio de sesión de los atacantes fracasa en la solicitud del segundo factor. La empresa gana tiempo: la contable comunica el incidente, se restablece la contraseña y se cierran las sesiones activas. Lo decisivo es que la 2FA se aplique a todas las cuentas, no solo a la dirección.

Implantación, límites y errores habituales

Deben protegerse primero las cuentas de correo, los accesos de administrador y de la nube, la contabilidad y la banca online, la gestión de dominios y hosting y las cuentas de redes sociales. Tampoco la 2FA es infalible: en ataques con un servidor intermedio (adversary-in-the-middle) pueden leerse los códigos de un solo uso. Por eso el objetivo son los métodos resistentes al phishing, como FIDO2.

Nano Concepts introduce la 2FA y las passkeys en Microsoft 365, servicios en la nube y aplicaciones propias, forma a los equipos en su uso y planifica vías de recuperación para el caso de pérdida, de modo que ningún empleado se quede sin acceso. Si lo desea, nos encargamos también de configurar los dispositivos, para que el cambio apenas reste tiempo en el día a día.

• No se han guardado códigos de recuperación ni se ha configurado un dispositivo de reserva
• El SMS como único factor en cuentas sensibles
• Excepciones para «personas importantes» o cuentas de servicio
• Aprobar cada solicitud push sin pensar
• Sin un proceso para smartphones perdidos o averiados