En síntesis: MFA reduce riesgos, pero no todos los métodos resisten el phishing. El despliegue debe incluir recuperación de acceso, cuentas críticas y pruebas antes de aplicarlo a toda la empresa.
Qué protege MFA
La autenticación multifactor exige más de una prueba de identidad. Reduce la dependencia de una contraseña, pero su eficacia depende del método, la configuración y la seguridad de los dispositivos.
No es correcto afirmar que un atacante nunca puede entrar si falta el teléfono del usuario. Existen ataques a sesiones, engaños para aprobar solicitudes y técnicas de phishing capaces de capturar algunos factores. La respuesta es combinar controles, no abandonar MFA.
Elegí métodos según el riesgo
Microsoft distingue métodos resistentes al phishing, como passkeys FIDO2 y Windows Hello for Business, de métodos que pueden ser interceptados o inducidos mediante engaños. Comprobá compatibilidad, condiciones del tenant y recuperación antes de desplegarlos.
Un orden de implementación
- Inventariá cuentas humanas, administradores e integraciones automáticas. No todas se protegen del mismo modo.
- Definí métodos permitidos y un procedimiento para altas, pérdida de dispositivos y cambios de personal.
- Prepará accesos de emergencia controlados y revisá quién puede modificar las políticas.
- Realizá un piloto con usuarios y aplicaciones representativos.
- Aplicá el cambio por grupos, registrá los problemas y revisá eventos de autenticación.
Qué no conviene hacer
No excluyas a todos los usuarios de un control para resolver el problema de una sola aplicación. Identificá la dependencia, evaluá alternativas y dejá cualquier excepción documentada, acotada y con fecha de revisión. Tampoco uses cuentas compartidas para simplificar el enrolamiento.
Cómo evaluar el resultado
Verificá cobertura real, métodos registrados, cuentas exceptuadas y capacidad de recuperación. Un informe de adopción debe distinguir usuarios enrolados de accesos que efectivamente exigen la protección esperada.
Aplicación práctica: qué comprobar
Escenario ilustrativo, no un caso de éxito documentado. Un administrador pierde el teléfono con el que autenticaba. La protección no está completa si nadie definió cómo verificar su identidad y recuperar el acceso sin desactivar controles de forma general.
Evidencia que conviene registrar
- Métodos permitidos y cuentas prioritarias.
- Procedimiento de recuperación de acceso y responsables.
- Piloto, registro de incidencias y validación de aplicaciones.
Referencia técnica: Métodos de autenticación de Microsoft Entra. Consultada el 14 de septiembre de 2026. Las condiciones del producto pueden cambiar.
