Por qué la MFA por SMS ya no es segura para Microsoft 365

By Mirko Peters · 2026-10-26

Descubre por qué la autenticación multifactor por mensaje de texto SMS deja a los inquilinos de Microsoft 365 expuestos al intercambio de SIM y al phishing, y qué deberías usar en su lugar.

Automatically translated with AI from the original post. Read the English original

La autenticación multifactor por mensaje de texto SMS lleva mucho tiempo siendo el segundo paso por defecto tanto para los administradores de TI como para los usuarios finales, pero su dependencia de la red telefónica heredada la hace peligrosamente vulnerable a ciberataques modernos como el intercambio de SIM y el phishing dirigido.

Puntos clave

• La autenticación multifactor basada en SMS depende de la red telefónica pública, lo que la hace vulnerable a la interceptación y al intercambio de SIM.
• Las investigaciones de Google y Verizon muestran que los códigos de texto fallan con mucha más frecuencia frente a los ataques de phishing dirigidos que las notificaciones push modernas o las passkeys.
• Los informes de brechas de seguridad de Verizon recomiendan activamente no usar códigos SMS para la verificación de inicio de sesión.
• Dejar atrás el SMS requiere planificar métodos de verificación duales para evitar la saturación del servicio de asistencia técnica y los bloqueos permanentes de cuentas.

La ilusión de seguridad de los códigos SMS

Cuando las organizaciones implementan por primera vez la autenticación multifactor, los mensajes de texto suelen parecer un acierto. Son compatibles de forma universal, no requieren instalar software y funcionan en prácticamente cualquier dispositivo móvil. Sin embargo, desde el punto de vista de la arquitectura de seguridad, el SMS incumple una regla fundamental de una verificación de identidad robusta: el mecanismo de entrega es fundamentalmente defectuoso.

Un mensaje SMS viaja por la red de telecomunicaciones estándar hasta llegar a tu teléfono móvil. Como esa infraestructura se diseñó hace décadas con muy poca seguridad en mente, puede ser interceptada, redirigida o manipulada. Los delincuentes explotan esta vulnerabilidad de forma habitual mediante una técnica conocida como intercambio de SIM. Mediante ingeniería social dirigida al personal de soporte de las operadoras, los atacantes pueden transferir tu número de teléfono a una tarjeta SIM dentro de su propio smartphone. Una vez completada esa transferencia, cada código de autenticación destinado a tu cuenta llega directamente al atacante.

Lo que dicen las investigaciones sobre la MFA por mensaje de texto

Los datos de seguridad pintan un panorama preocupante sobre la eficacia de la verificación por SMS. Aunque los códigos de texto ofrecen una defensa adecuada frente a los ataques automatizados y de bajo esfuerzo de relleno de credenciales, su eficacia se desploma cuando intervienen adversarios humanos reales.

Estudios de seguridad de referencia de Google revelaron que, aunque los códigos SMS bloqueaban aproximadamente el noventa y seis por ciento de los intentos de phishing masivo, su eficacia caía de forma notable frente a campañas dirigidas. Cuando un atacante concentra sus esfuerzos en una persona u organización concreta, los códigos de texto no ofrecen una protección fiable. En consecuencia, los principales marcos de ciberseguridad y las investigaciones anuales sobre brechas, incluidos los informes de Verizon, recomiendan ahora eliminar gradualmente los mensajes de texto y las llamadas de voz para la verificación de inicio de sesión.

Ataques de adversario en el medio

El principal límite de cualquier código escrito a mano es que puede redirigirse. En un ataque de adversario en el medio, un actor malintencionado despliega un clon sofisticado y calcado de la página de inicio de sesión de Microsoft 365. Cuando introduces tu contraseña y tu código SMS en este portal falso, el proxy reenvía inmediatamente tus credenciales al servicio real. El sistema concede el acceso y el atacante captura un token de sesión activo, eludiendo tus defensas por completo aunque hayas introducido un código válido.

Cómo pasar de SMS a alternativas modernas

Dejar atrás los mensajes de texto exige entender la jerarquía de los segundos factores disponibles. Para proteger de verdad tu entorno de Microsoft 365, las organizaciones deben migrar a los usuarios hacia métodos que eliminen los secretos reutilizables y la dependencia de las operadoras de telefonía.

Aplicaciones de autenticación y coincidencia de números

Las aplicaciones de autenticación suponen un gran salto respecto a SMS. Al generar en el propio dispositivo contraseñas de un solo uso basadas en el tiempo que cambian constantemente, evitan por completo la red telefónica. Además, al usar soluciones empresariales como la aplicación Microsoft Authenticator, funciones como la coincidencia de números neutralizan los ataques de bombardeo de notificaciones. Los usuarios deben mirar la pantalla de inicio de sesión, leer un número aleatorio e introducirlo en su aplicación móvil, lo que garantiza que están aprobando de forma consciente un intento de inicio de sesión que ellos mismos iniciaron.

Passkeys resistentes al phishing y llaves de seguridad

El estándar de oro para la autenticación moderna son las llaves de hardware resistentes al phishing o las passkeys de plataforma. Estos mecanismos se basan en criptografía de clave pública. Tu dispositivo guarda una clave criptográfica privada que nunca sale del hardware. Cuando te autenticas, el sitio emite un desafío criptográfico que tu dispositivo firma. Un sitio de phishing falso no puede falsificar esa firma, lo que hace que los ataques de adversario en el medio sean completamente ineficaces. Las propias métricas de Microsoft muestran que los inicios de sesión con passkeys son significativamente más rápidos que las contraseñas tradicionales combinadas con las solicitudes MFA estándar, lo que demuestra que una seguridad más robusta no tiene por qué ir en detrimento de la experiencia del usuario.

Gestionar la transición en tu organización

Imponer una directiva que prohíba la autenticación por SMS puede generar rechazo si no se gestiona con cuidado. Los administradores de TI deben planificar los despliegues de forma estratégica. Empieza por las cuentas de mayor riesgo, como los administradores globales, el personal de finanzas y los usuarios con acceso a portales de infraestructura crítica. Proporciona a los usuarios al menos dos métodos de verificación válidos y rutas de recuperación claras y probadas, para evitar que los usuarios legítimos pierdan el acceso a sus cuentas cuando se pierde o se cambia el teléfono.

Conclusión y próximos pasos

Aunque cualquier forma de autenticación multifactor es, sin duda, mejor que depender únicamente de una contraseña, seguir usando códigos SMS deja los entornos cloud modernos expuestos a riesgos evitables. Pasar a aplicaciones de autenticación con coincidencia de números o a passkeys totalmente resistentes al phishing convierte tu postura de seguridad de un frágil obstáculo en una defensa resiliente.

Si quieres profundizar en la mecánica de la protección de identidades, las configuraciones de seguridad en la nube y las estrategias de autenticación moderna, no te pierdas el debate relacionado en nuestro podcast. Escucha el episodio completo y únete a nosotros mientras desglosamos todo lo que necesitas para proteger tus entornos de Microsoft 365 y Azure.

Preguntas frecuentes

¿Por qué se considera débil la autenticación multifactor por SMS?

Los códigos SMS viajan por la red de telefonía y no por un canal de aplicación cifrado. Esto los hace vulnerables a los ataques de intercambio de SIM (SIM swapping), en los que los delincuentes engañan a los operadores móviles para transferir tu número de teléfono a un dispositivo que controlan.

¿Permite Microsoft 365 a los administradores desactivar la autenticación por SMS?

Sí, los administradores de Microsoft 365 pueden usar los controles de directivas de métodos de autenticación en Entra ID para restringir o desactivar las opciones de SMS y de llamada de voz, y empujar a los usuarios hacia opciones más seguras como la aplicación Microsoft Authenticator o las llaves FIDO2.

¿Cómo evita el phishing la coincidencia de números en las aplicaciones de autenticación?

La coincidencia de números exige que el usuario introduzca en su aplicación de autenticación un número concreto que aparece en su pantalla de inicio de sesión. Esto impide que los usuarios pulsen «aprobar» a ciegas por fatiga de notificaciones o durante un ataque de adversario en el medio.

¿Cuál es la mejor alternativa a los códigos SMS para los usuarios empresariales?

Las llaves de seguridad FIDO2 y las passkeys modernas ofrecen el nivel de seguridad más alto, ya que son totalmente resistentes al phishing y se basan en criptografía de clave pública en lugar de códigos reutilizables.