Más allá de la contraseña: por qué MFA no basta para proteger tus datos

By Mirko Peters · 2026-08-28

¡Bienvenidos de nuevo, entusiastas de la seguridad! Si eres como yo, probablemente recuerdes el suspiro de alivio colectivo que dio la comunidad tecnológica cuando la autenticación multifactor (MFA) se generalizó. Durante años dependimos de contraseñas frágiles y fáciles de adivinar. MFA iba a ser la bala de plata, el campo de fuerza digital que mantendría a raya a los atacantes de una vez por tod

Automatically translated with AI from the original post. Read the English original

¡Bienvenidos de nuevo, entusiastas de la seguridad! Si eres como yo, probablemente recuerdes el suspiro de alivio colectivo que dio la comunidad tecnológica cuando la autenticación multifactor (MFA) se generalizó. Durante años dependimos de contraseñas frágiles y fáciles de adivinar. MFA iba a ser la bala de plata, el campo de fuerza digital que mantendría a raya a los atacantes de una vez por todas. Les decimos a nuestros clientes, amigos y compañeros que lo activen en todas partes: cuentas bancarias, redes sociales, portales de trabajo. Si tiene una pantalla de inicio de sesión, ponle MFA y listo.

Pero la dura verdad que debemos afrontar hoy es que MFA no es suficiente. De hecho, confiar en él como única línea de defensa es una apuesta peligrosa. Los ciberdelincuentes han evolucionado, y las amenazas sofisticadas que enfrentan nuestras redes hoy en día esquivan las solicitudes tradicionales de MFA como si ni siquiera existieran.

En esta entrada vamos a desmontar la ilusión de seguridad absoluta, a analizar las vulnerabilidades evidentes de los sistemas multifactor modernos y a explorar qué se necesita realmente para construir una estrategia de defensa robusta en un mundo donde las contraseñas y los tokens estándar se ven comprometidos de forma rutinaria. Tanto si eres un profesional de TI que protege un entorno corporativo como si solo quieres blindar tu vida digital, entender estos riesgos es imprescindible. Vamos allá.

Puntos clave

• MFA no es una solución infalible. Por sí solo no puede garantizar la seguridad de los datos.
• Los ataques de phishing pueden eludir MFA engañando a los usuarios para que revelen sus credenciales.
• Los ataques de consentimiento de OAuth permiten el acceso no autorizado incluso después de completar MFA.
• El intercambio de SIM puede interceptar los códigos de MFA basados en SMS, lo que compromete la seguridad.
• El secuestro de sesiones aprovecha las sesiones activas para eludir MFA.
• Los problemas de experiencia de usuario pueden llevar al abandono de MFA, lo que aumenta la vulnerabilidad.
• Considera usar gestores de contraseñas para reforzar la seguridad y gestionar las contraseñas de forma eficaz.
• Adopta un modelo de seguridad de confianza cero para verificar continuamente las identidades de los usuarios y limitar el acceso.

Vulnerabilidades de MFA

Ataques de phishing

Visión general del phishing

Los ataques de phishing siguen siendo una de las amenazas más comunes para la seguridad de los datos. Estos ataques te engañan para que reveles información sensible, como contraseñas o códigos de autenticación. Los ciberdelincuentes suelen recurrir a tácticas de ingeniería social para manipularte y que les proporciones estos datos. Pueden enviar correos que parecen legítimos y te incitan a hacer clic en enlaces maliciosos o descargar archivos adjuntos dañinos.

Los ataques de phishing pueden eludir la autenticación multifactor (MFA) mediante técnicas como el phishing de intermediario (AiTM, adversary-in-the-middle) y el robo de tokens. Estos métodos explotan vulnerabilidades del proceso de autenticación y permiten el acceso no autorizado sin completar los desafíos de MFA. La frecuencia de estos ataques está aumentando, con un incremento notable del uso de estas técnicas en los últimos años.

Ejemplos del mundo real

Estas son las técnicas que usan los atacantes para vencer MFA:

• Ingeniería social: los hackers explotan las debilidades humanas engañándote para que proporciones códigos de autenticación o credenciales mediante correos o llamadas de phishing.
• Ataque de fatiga de MFA: los atacantes te bombardean con solicitudes de MFA hasta que apruebas una por puro cansancio.
• Ataques con OTP por SMS: técnicas como el intercambio de SIM permiten a los atacantes interceptar las contraseñas de un solo uso enviadas por SMS y así eludir MFA.

En los últimos años, el phishing ha evolucionado hacia campañas sofisticadas. Por ejemplo, las campañas AiTM sitúan la infraestructura de phishing entre tú y los servicios legítimos, capturando tanto tus credenciales como los tokens de MFA. Así, los atacantes pueden acceder sin activar MFA. El robo de tokens consiste en sustraer tokens de autenticación, lo que concede acceso no autorizado sin necesidad de contraseñas ni de superar los desafíos de MFA.

Ataques de consentimiento OAuth

Cómo funciona el consentimiento OAuth

Los ataques de consentimiento OAuth te manipulan para que concedas permisos a aplicaciones maliciosas. Estos ataques se dirigen a la capa de autorización y no al proceso de autenticación. Una vez que concedes el consentimiento, los atacantes obtienen tokens de acceso que funcionan al margen de MFA, lo que les proporciona acceso persistente a tus cuentas.

Riesgos de acceso no autorizado

Los riesgos asociados a los ataques de consentimiento OAuth son considerables. Los atacantes pueden acceder a tus datos incluso después de completar MFA. Esto significa que medidas de seguridad tradicionales como MFA no protegen contra el acceso no autorizado una vez concedido el consentimiento. Las tendencias recientes muestran un aumento significativo de aplicaciones empresariales maliciosas que tienen como objetivo a los clientes de Microsoft 365.

Intercambio de SIM

Cómo funciona el intercambio de SIM

El intercambio de SIM es una técnica en la que los atacantes obtienen el control de tu número de teléfono convenciendo a tu operador móvil para que transfiera tu número a una nueva tarjeta SIM. Así pueden interceptar los mensajes SMS, incluidos los que contienen códigos de MFA.

Casos prácticos

La prevalencia de los ataques de intercambio de SIM ha aumentado de forma notable. La Comisión Federal de Comercio de EE. UU. (FTC) informó de un aumento del 400 % en los ataques de intercambio de SIM entre 2021 y 2022. Un estudio de 2020 de la Universidad de Princeton reveló que el 80 % de los intentos iniciales de fraude por intercambio de SIM tuvieron éxito, en gran parte debido a los métodos de autenticación débiles que utilizaban las operadoras de telecomunicaciones.

En septiembre de 2023, el cofundador de Ethereum, Vitalik Buterin, fue objetivo de un ataque de intercambio de SIM que permitió a los hackers secuestrar su cuenta de Twitter. Un empleado de Kroll también fue víctima de un ataque de intercambio de SIM en agosto de 2023, lo que provocó un acceso no autorizado a información confidencial de la empresa.

Las consecuencias de los ataques de intercambio de SIM pueden ser graves:

• Los atacantes pueden interceptar los códigos de MFA enviados por SMS, lo que permite el acceso no autorizado a las cuentas.
• El acceso a información confidencial puede provocar filtraciones de datos y la pérdida de propiedad intelectual.
• El FBI informó de pérdidas de casi 50 millones de dólares debido a los ataques de intercambio de SIM.

Secuestro de sesiones

Explotación de las cookies de sesión

El secuestro de sesiones se produce cuando los atacantes toman el control de tu sesión activa en una aplicación web. Explotan las cookies de sesión, que son pequeños fragmentos de datos almacenados en tu dispositivo después de iniciar sesión. Estas cookies te permiten mantener la sesión iniciada sin volver a introducir tus credenciales. Sin embargo, si los atacantes roban estas cookies, pueden suplantarte y obtener acceso no autorizado a tus cuentas.

Estos son algunos de los métodos habituales que utilizan los atacantes para secuestrar sesiones:

• Robo de tokens de sesión (cookies) tras la autenticación del usuario.
• Uso de ataques de proxy adversary-in-the-middle (AitM) con herramientas como Evilginx para interceptar credenciales y códigos de MFA en tiempo real.
• Uso de malware infostealer para extraer las cookies de sesión de los dispositivos de las víctimas.
• Robo de cookies mediante malware o phishing.
• Sniffing de red en redes Wi-Fi no seguras para interceptar los datos de sesión.
• Ataques de cross-site scripting (XSS) para robar cookies.
• Secuestro de sesiones TCP mediante la predicción de números de secuencia.

Estas técnicas permiten a los atacantes eludir tanto las contraseñas como las solicitudes de MFA. Una vez que tienen tu cookie de sesión, pueden acceder a tu cuenta sin necesidad de tu contraseña ni de tu código de MFA.

Impacto en la eficacia de MFA

La eficacia de MFA se reduce considerablemente cuando un atacante consigue secuestrar tu sesión. Puede hacerse pasar por ti y realizar acciones como si fueras tú, eludiendo además los controles de MFA. Por ejemplo, si un atacante roba tu cookie de sesión, puede iniciar sesión en tu cuenta sin necesidad de introducir tu contraseña ni tu código de MFA.

Para protegerte, evita usar la opción "Mantener la sesión iniciada" en dispositivos que no sean de confianza. Si sospechas que tu cuenta puede estar comprometida, cierra inmediatamente todas las sesiones. Esta acción puede ayudar a mitigar los riesgos asociados al secuestro de sesiones.

Limitaciones de la autenticación multifactor

Experiencia de usuario frente a seguridad

Equilibrar comodidad y seguridad

A menudo te enfrentas a un dilema al usar la autenticación multifactor (MFA). Aunque MFA mejora la seguridad, también puede complicar la experiencia de usuario. Muchos usuarios consideran confusos los procesos de configuración y recuperación. Esta complejidad puede generar frustración y llevar a abandonar MFA por completo. De hecho, los usuarios abandonan con frecuencia MFA por una mala experiencia de usuario, debido a factores como:

• Complejidad: configurar MFA puede llevar mucho tiempo y resultar confuso, sobre todo para quienes no están familiarizados con la tecnología.
• Incomodidad: las solicitudes de autenticación repetidas pueden frustrarte y reducir la tasa de adopción.
• Falta de orientación: las instrucciones insuficientes hacen que te cueste completar los pasos de MFA.
• Resistencia de los usuarios: la carga general de MFA puede llevarte a rechazarlo o abandonarlo.

Estos problemas de usabilidad contribuyen directamente a la frustración de los usuarios y al abandono de los sistemas de MFA.

Problemas de cumplimiento por parte de los usuarios

El cumplimiento por parte de los usuarios es fundamental para la eficacia de MFA. Cuando te resistes a MFA por considerarlo incómodo o complejo, te expones a ti y a tu organización a riesgos. Un cumplimiento deficiente puede llevar a:

• Eludir MFA por completo.
• Resistencia a su despliegue, lo que deja los sistemas vulnerables a ataques basados en contraseñas.
• Uso insuficiente o configuración incorrecta de MFA, lo que reduce sus beneficios de protección.

Deficiencias tecnológicas

Canales inseguros

MFA depende de distintos canales de comunicación, pero no todos son seguros. Por ejemplo, usar SMS para la autenticación puede debilitar considerablemente tu seguridad. Si los atacantes comprometen tu número de teléfono, pueden interceptar los mensajes SMS, incluidos los códigos de MFA. Depender únicamente de las contraseñas permite a los atacantes acceder a las cuentas sin barreras adicionales si las credenciales se ven comprometidas.

Falta de estandarización

La falta de estandarización en las implementaciones de MFA da lugar a enfoques fragmentados entre plataformas. Esta falta de coherencia afecta negativamente a la fiabilidad de MFA. Por ejemplo, sectores como IoT y los servicios electrónicos suelen tener protocolos de MFA distintos, lo que puede crear vulnerabilidades.

Estas limitaciones ponen de manifiesto los retos a los que se enfrentan las organizaciones al implementar MFA. Comprender estos problemas es esencial para mejorar tu postura de seguridad.

Alternativas a MFA

En el panorama digital actual, confiar únicamente en la autenticación multifactor (MFA) puede dejarte expuesto. En su lugar, considera implementar medidas de seguridad alternativas que refuercen tu protección. Estas son algunas opciones eficaces:

Gestores de contraseñas

Ventajas de usar gestores de contraseñas

Los gestores de contraseñas simplifican tu seguridad en línea. Almacenan y cifran tus contraseñas, lo que te permite usar contraseñas únicas y complejas para cada cuenta de forma sencilla. Así se reduce el riesgo de robo de credenciales y de reutilización de contraseñas.

Cómo mejoran la seguridad

Al usar un gestor de contraseñas, puedes generar contraseñas seguras automáticamente. Esto elimina la necesidad de recordar varias contraseñas, lo que te permite centrarte en la seguridad en lugar de en memorizarlas. Además, muchos gestores de contraseñas ofrecen funciones como el uso compartido de contraseñas y alertas de filtraciones, que refuerzan aún más la seguridad de tu identidad.

Autenticación biométrica

Tipos de métodos biométricos

La autenticación biométrica utiliza características físicas únicas para verificar tu identidad. Entre los métodos más comunes se encuentran:

• Escaneo de huellas dactilares
• Escaneo de la palma de la mano
• Escaneo de retina e iris
• Reconocimiento de voz
• Detección de la respiración
• Coincidencia de ADN
• Escaneo de venas
• Reconocimiento de la marcha

Estos métodos están muy extendidos en sectores como la sanidad y la manufactura, especialmente donde los dispositivos compartidos son habituales.

Ventajas e inconvenientes de la seguridad biométrica

La autenticación biométrica ofrece varias ventajas:

1. Seguridad sólida y menor riesgo de robo de identidad.
2. Comodidad: ya no necesitas recordar contraseñas.
3. Mejor experiencia de usuario: acceso rápido a dispositivos o servicios.

Sin embargo, también tiene inconvenientes:

Aunque los métodos biométricos refuerzan la seguridad, también plantean preocupaciones sobre la privacidad de los datos y posibles filtraciones.

Modelo de seguridad Zero Trust

Principios de Zero Trust

El modelo de seguridad Zero Trust se basa en el principio de "nunca confiar, verificar siempre". Este enfoque exige autenticación y autorización estrictas para cada solicitud de acceso. Los principios clave son:

• No asumir confianza implícita en ningún acceso a la red.
• Aplicar múltiples medidas de protección, como el cifrado.
• Limitar el acceso a los datos estrictamente según la necesidad de saber.

Implementar Zero Trust en las organizaciones

Las organizaciones pueden implementar Zero Trust verificando continuamente las identidades de los usuarios y restringiendo el acceso a usuarios y recursos aprobados. Este modelo pone el énfasis en la autenticación y la autorización basadas en la identidad para todas las conexiones. Al supervisar el comportamiento de los usuarios y el estado de los dispositivos, las organizaciones pueden autorizar el acceso de forma dinámica, reduciendo la dependencia de MFA como única medida de seguridad.

MFA tiene vulnerabilidades y limitaciones importantes que debes reconocer. Los atacantes pueden aprovechar páginas de inicio de sesión falsas para capturar tus credenciales, lo que socava la eficacia de MFA. Además, el 61% de las organizaciones tiene usuarios root sin MFA, lo que pone de manifiesto los riesgos de depender únicamente de este método.

Para proteger tus datos, adopta un enfoque proactivo que incluya varias capas de seguridad. Considera implementar:

• Controles de acceso basados en roles para limitar la exposición de datos.
• Cumplimiento de normativas como HIPAA y GDPR, con autenticación sólida.
• Supervisión continua de la actividad de inicio de sesión para detectar comportamientos sospechosos.

Al diversificar tus medidas de seguridad, podrás proteger mejor tu información sensible.

Preguntas frecuentes

¿Qué es MFA?

MFA, o autenticación multifactor, añade una capa extra de seguridad al exigir dos o más métodos de verificación. Estos métodos pueden incluir algo que sabes (como una contraseña), algo que tienes (como un teléfono) o algo que eres (como una huella dactilar).

¿Cómo evita el phishing la MFA?

Los ataques de phishing te engañan para que reveles tus credenciales o códigos MFA. Los atacantes pueden usar técnicas como el phishing de intermediario (adversary-in-the-middle, AiTM) para capturar tanto tu contraseña como el token MFA, lo que les permite acceder a tus cuentas sin necesitar MFA.

¿Qué es un ataque de consentimiento OAuth?

Un ataque de consentimiento OAuth se produce cuando los atacantes te manipulan para que concedas permisos a aplicaciones maliciosas. Una vez que das tu consentimiento, obtienen tokens de acceso que les permiten acceder a tus datos sin necesitar MFA.

¿Por qué es peligroso el SIM swapping?

El SIM swapping permite a los atacantes apoderarse de tu número de teléfono. Pueden interceptar los mensajes SMS, incluidos los códigos MFA, lo que les permite saltarse la MFA y acceder a tus cuentas sin que lo sepas.

¿Cómo funciona el secuestro de sesiones?

El secuestro de sesiones se produce cuando los atacantes roban las cookies de sesión después de que inicias sesión. Pueden suplantarte y acceder a tus cuentas sin necesitar tu contraseña ni tu código MFA, lo que socava la eficacia de la MFA.

¿Cuáles son algunas alternativas a MFA?

Entre las alternativas a MFA están el uso de gestores de contraseñas, la autenticación biométrica y la adopción de un modelo de seguridad de confianza cero. Estos métodos pueden reforzar tu postura de seguridad y reducir la dependencia exclusiva de MFA.

¿Puedo confiar únicamente en las contraseñas para mi seguridad?

No, depender solo de las contraseñas es arriesgado. Las contraseñas pueden robarse o adivinarse. Implementar medidas de seguridad adicionales, como MFA o gestores de contraseñas, mejora de forma significativa tu protección frente al acceso no autorizado.

¿Cómo puedo mejorar mi postura de seguridad?

Para reforzar tu seguridad, considera usar contraseñas fuertes y únicas, habilitar MFA siempre que sea posible y supervisar con regularidad tus cuentas para detectar actividad sospechosa. Adoptar un enfoque de seguridad por capas es esencial para proteger tus datos.

Conclusión

Como hemos visto a lo largo de este artículo, considerar la autenticación multifactor como una bala de plata infalible es un error peligroso. Entre las sofisticadas campañas de phishing AiTM, el implacable SIM swapping, el secuestro de sesiones y los sigilosos abusos del consentimiento OAuth, los atacantes han encontrado muchas formas de burlar a los guardianes tradicionales de la MFA. La MFA sigue siendo una herramienta vital en tu kit de seguridad, pero no es más que una capa dentro de un rompecabezas mucho más grande. Para proteger de verdad tus activos digitales, debes adoptar una mentalidad de defensa en profundidad, combinar métodos de autenticación sólidos con gestores de contraseñas robustos y avanzar hacia una arquitectura de confianza cero.

Si quieres profundizar en cómo se producen los exploits modernos de identidad, en concreto en cómo los atacantes aprovechan los permisos de aplicaciones para mantener el acceso a largo plazo, no te pierdas el episodio del podcast que lo acompaña. Para escuchar el análisis completo, dirígete a Stop OAuth Consent Attacks in Microsoft Entra ID. Cuídate mucho ahí fuera, sigue cuestionando tus suposiciones, ¡y nos vemos en el próximo episodio!