La cerradura que se abre con una sola llave
Imaginá que tu casa tiene una sola cerradura con una llave que medio vecindario ha visto. Vos la dejás debajo del tapete "por si se te olvida", y encima usás la misma llave para la oficina, el carro y la bodega. Un día, alguien la copia y entra a tu casa mientras dormís. ¿Culpa del ladrón? Claro. ¿Pero no habría sido mejor tener un segundo candado, una alarma, o al menos no dejar la llave debajo del tapete? Eso es exactamente lo que pasa con tus contraseñas en internet.
Las contraseñas fueron diseñadas en una época en que la seguridad digital era un concepto casi teórico. Hoy, con miles de millones de credenciales filtradas circulando en la dark web, depender solo de una contraseña es como cerrar tu negocio con un candadito de diario.
¿Qué es la autenticación multifactor (MFA)?
La autenticación multifactor es un método de seguridad que requiere que presentés dos o más pruebas de identidad antes de acceder a una cuenta o sistema. Estas pruebas se dividen en tres categorías:
La idea es simple pero poderosa: aunque un atacante robe tu contraseña (algo que sabés), todavía necesitaría tu teléfono (algo que tenés) o tu huella (algo que sos) para entrar.
¿Por qué las contraseñas solas ya no funcionan?
Los números son escalofriantes:
No importa qué tan larga o complicada sea tu contraseña: si la usás en un sitio que sufre una filtración, esa contraseña queda expuesta para todos tus otros servicios.
Los tipos de MFA: del más débil al más fuerte
1. SMS (mensajes de texto) — El más común, pero ya no el más seguro
Cuando activás MFA por SMS, el servicio te envía un código de 6 dígitos por mensaje de texto cada vez que iniciás sesión. Es mejor que nada, pero tiene vulnerabilidades serias.
Ventajas:
Desventajas:
2. Aplicaciones de autenticación (TOTP) — El punto óptimo
Aplicaciones como Google Authenticator, Microsoft Authenticator o Authy generan códigos temporales (TOTP: Time-based One-Time Password) que cambian cada 30 segundos. Funcionan sin conexión a internet.
Ventajas:
Desventajas:
3. Notificaciones push — Cómodas y seguras
Servicios como Microsoft Authenticator o Duo Security envían una notificación a tu teléfono que simplemente aprobás o rechazás. Algunos incluso te muestran un número que debés coincidir con lo que aparece en pantalla.
Ventajas:
Desventajas:
4. Llaves de seguridad físicas (FIDO2/WebAuthn) — El estándar de oro
Dispositivos como YubiKey o Google Titan son pequeñas llaves USB o NFC que conectás a tu computadora o acercás a tu teléfono para autenticarte.
Ventajas:
Desventajas:
5. Biometría — Tu cuerpo como contraseña
Huellas digitales, reconocimiento facial y escáneres de iris añaden una capa basada en quién sos físicamente.
Ventajas:
Desventajas:
SIM Swapping: la estafa que hace inútil al SMS
¿Qué es?
El SIM swapping (intercambio de SIM) es una técnica donde el atacante convence a tu operador telefónico de transferir tu número a una tarjeta SIM que él controla. Una vez que tiene tu número, recibe todos tus SMS, incluyendo los códigos de verificación.
¿Cómo funciona paso a paso?
Casos reales en la región
En Centroamérica, el SIM swapping es más común de lo que se piensa. Operadores telefónicos locales a veces tienen procesos de verificación débiles, y la ingeniería social es particularmente efectiva cuando el atacante tiene acceso a datos personales que son fácilmente encontrables en registros públicos.
En 2024, varios empresarios costarricenses reportaron pérdidas significativas por SIM swapping combinado con acceso a banca en línea. El patrón era siempre el mismo: contraseña filtrada + verificación por SMS = cuenta vacía.
Guía práctica: Implementar MFA en tu PYME
Paso 1: Priorizá las cuentas críticas
No todo necesita MFA el primer día. Empezá por lo más importante:
Paso 2: Elegí el método adecuado
Para la mayoría de PYMEs en Centroamérica, la recomendación es:
| Uso | Método recomendado | Costo |
|---|---|---|
| Correo y redes sociales | App de autenticación (TOTP) | Gratis |
| Banca en línea | App del banco + biometría | Gratis |
| Administración de servidores | Llave física FIDO2 | $25-70 |
| Acceso general de empleados | App de autenticación | Gratis |
| Cuentas del CEO/gerencia | Llave física + app | $25-70 |
Paso 3: Herramientas gratuitas y accesibles
Para individuos y equipos pequeños:
Para empresas que necesitan gestión centralizada:
Llaves físicas accesibles:
Paso 4: Configurá códigos de respaldo
Cada servicio que active MFA te ofrece códigos de respaldo (recovery codes). Estos son códigos de un solo uso que te permiten acceder si perdés tu dispositivo de autenticación.
Reglas para los códigos de respaldo:
Paso 5: Capacitá a tu equipo
De nada sirve implementar MFA si tu equipo no sabe usarlo o lo desactiva por frustración:
Errores comunes al implementar MFA
1. Activar MFA solo por SMS
Ya vimos que el SMS es el eslabón más débil. Si es tu única opción temporalmente, está bien, pero migrá a una app de autenticación lo antes posible.
2. No tener un plan de recuperación
Si el gerente general pierde su teléfono un viernes por la noche y no hay códigos de respaldo ni proceso de recuperación, el lunes va a ser un desastre.
3. Excluir a la alta gerencia
Irónicamente, las cuentas de CEO, CFO y gerentes son las más atacadas (por su nivel de acceso) y las que más frecuentemente piden ser excluidas de MFA "porque es incómodo". Precisamente esas cuentas necesitan la protección más fuerte.
4. No cubrir todas las puertas de entrada
De nada sirve tener MFA en el correo si el VPN, el sistema contable o el acceso remoto no lo tienen. Los atacantes buscan la puerta que dejaste abierta.
5. Ignorar la fatiga de MFA
Si tu equipo recibe demasiadas solicitudes de autenticación, eventualmente van a aprobar sin pensar. Configurá políticas inteligentes: por ejemplo, no pedir MFA si el usuario está en la red de la oficina y en un dispositivo conocido.
El futuro: Passkeys y autenticación sin contraseña
La industria se está moviendo hacia un futuro sin contraseñas. Las passkeys, basadas en el estándar FIDO2/WebAuthn, permiten autenticarte usando la biometría de tu dispositivo sin necesidad de recordar ninguna contraseña.
¿Cómo funcionan?
Ventajas de las passkeys:
Esto no significa que debás esperar a las passkeys para actuar. Activá MFA hoy con lo que tengás disponible.
Un paso a la vez, pero dalo hoy
No necesitás llaves de seguridad de $50 ni sistemas empresariales de autenticación para empezar. Simplemente abrí Google Authenticator o Authy, escaneá los códigos QR de tus cuentas más importantes, y guardá los códigos de respaldo en un lugar seguro. Eso ya te pone adelante del 90% de los ataques.
En CiberShield ayudamos a PYMEs centroamericanas a implementar MFA de forma escalonada y sin fricciones. Desde la selección del método adecuado para cada tipo de cuenta, hasta la capacitación del equipo y la configuración de políticas de acceso. Porque proteger tu negocio no debería ser complicado, solo necesita el primer paso.
¿Querés saber qué tan protegidas están las cuentas de tu empresa? Contactanos para una evaluación de seguridad de accesos y te ayudamos a implementar MFA de forma que tu equipo realmente lo use.