Por qué no se exige MFA cuando debería hacerlo en entornos de Microsoft

By Mirko Peters · 2026-04-22

La autenticación multifactor (MFA) debería ser tu red de seguridad en Microsoft 365 y Azure, frenando a los atacantes incluso si roban una contraseña. Pero ¿qué pasa cuando esa red simplemente no está, aunque debería estar…

Automatically translated with AI from the original post. Read the English original

La autenticación multifactor (MFA) debería ser tu red de seguridad en Microsoft 365 y Azure, frenando a los atacantes incluso si roban una contraseña. Pero ¿qué pasa cuando esa red simplemente no está, aunque debería estar? "Debería" se refiere a esos momentos críticos: inicios de sesión de riesgo, inicios de sesión de cuentas de administrador o accesos desde fuera de tus ubicaciones habituales. Si MFA no se activa en estos casos, tienes una exposición, sin más.

Estos huecos suelen aparecer por una mezcla de problemas técnicos, configuraciones de directivas confusas e incluso soluciones alternativas de los propios usuarios. A veces se deben a aplicaciones de autenticación heredadas, directivas de acceso condicional débiles o una cobertura incompleta de usuarios. Sea como sea, la falta de MFA justo donde más importa abre la puerta a los atacantes y genera problemas de seguridad muy reales.

Entender y corregir estas fallas en la aplicación de MFA es fundamental para mantener tus datos protegidos. Si quieres ver cómo los atacantes aprovechan estas grietas con robo de tokens y trucos con OAuth, este desglose de una brecha de Microsoft 365 muestra exactamente qué está en juego.

Dónde falla la activación de MFA y sus causas

MFA es tan fuerte como las directivas y la tecnología que tienes detrás. Lo frustrante es que, incluso cuando estás seguro de haberlo configurado bien, hay muchos escenarios en los que MFA no aparece sin hacer ruido, incluso para usuarios críticos o durante inicios de sesión de riesgo.

Un culpable habitual son las directivas de acceso condicional mal configuradas. Quizá un usuario VIP queda excluido por "comodidad", o las cuentas de prueba siguen activas con permisos amplios y sin MFA. Estas exclusiones pueden parecer inofensivas durante la configuración, pero pueden abrir agujeros directos en tus defensas. Si las directivas no se revisan con regularidad, podrías acabar con brechas de seguridad invisibles de las que ningún panel te avisa.

Las aplicaciones heredadas son otro problema sigiloso. Herramientas como Exchange ActiveSync o ciertos clientes de correo de escritorio suelen usar autenticación obsoleta, saltándose MFA moderno por defecto. Estas aplicaciones que no son de navegador dependen de la autenticación básica, que no es compatible con tu nueva configuración de MFA, y eso puede provocar inicios de sesión que escapan totalmente a tu control.

Y no olvides el comportamiento de los usuarios. Algunos generan "contraseñas de aplicación" para conectar aplicaciones antiguas, lo que evita MFA por completo. Otros conceden sin querer permisos de OAuth a aplicaciones de terceros mediante solicitudes de consentimiento arriesgadas, dando a los atacantes una puerta trasera que nunca se somete a MFA. Aquí es donde la gobernanza importa, porque los usuarios pueden eludir MFA sin siquiera darse cuenta del riesgo.

En organizaciones con entornos híbridos o multinube, estas brechas se multiplican. Si no auditas sistemáticamente quién y qué tiene MFA aplicado, podrías estar pasando por alto exposiciones críticas. Revisar los paneles de identidad de cada plataforma es la única forma de trazar tu cobertura real. Saber dónde falla MFA sienta las bases para reforzar tus controles y proteger cada inicio de sesión, sin importar cómo o dónde se produzca.

Implementar métodos de MFA resistentes al phishing para una autenticación segura

El MFA estándar es bueno, hasta que los atacantes descubren cómo engañar a los usuarios con fatiga de notificaciones push, solicitudes de phishing o robo de tokens. Por eso, cambiar a MFA resistente al phishing marca una gran diferencia si quieres cerrar la puerta a los ataques modernos.

La coincidencia de números en las aplicaciones de autenticación es una mejora sólida. En lugar de aprobar una notificación genérica, el usuario recibe un código que debe introducir, lo que hace casi imposible que un atacante engañe a alguien mediante bombardeo de solicitudes. Microsoft y otros fabricantes lo están impulsando con fuerza, activándolo por defecto en las nuevas configuraciones de MFA. Aborda directamente esos trucos de bombardeo de solicitudes que se usaron en brechas recientes de gran repercusión.

Las llaves de seguridad físicas, como YubiKey y los tokens FIDO2, van todavía más lejos. Estas llaves no pueden ser víctimas de phishing y no dependen de secretos compartidos. En entornos muy sensibles o para administradores y directivos, esto equivale casi a un "modo de bloqueo": autenticación basada en hardware que frena en seco la mayoría de las técnicas de ataque del mundo real.

Tampoco tienes por qué sacrificar la usabilidad. Con las opciones modernas de inicio de sesión sin contraseña y una integración sólida con plataformas como Microsoft 365 y Defender, puedes incorporar la MFA resistente al phishing directamente en tus flujos de trabajo existentes. Para ver ejemplos reales de integración del acceso condicional con la protección avanzada frente a amenazas y una experiencia fácil de usar, consulta esta guía sobre la configuración de seguridad de M365 a prueba de todo. Pasar a la MFA resistente al phishing ya no es un "nice to have", sino que se está convirtiendo rápidamente en la nueva base mínima para protegerse de atacantes sofisticados.

Implementación de MFA sin coste para pequeñas empresas con Microsoft Entra ID

Si diriges una pequeña empresa, no necesitas un presupuesto enorme ni licencias sofisticadas para implantar una MFA potente. Microsoft Entra ID (antes Azure AD) ofrece valores predeterminados de seguridad, que cualquier empresa puede activar con solo unos clics.

Activa los valores predeterminados de seguridad en el Centro de administración de Entra. Esto aplica de inmediato la MFA a todos los usuarios, sin necesidad de crear directivas complejas ni licencias adicionales. Lo mejor es que esta configuración preestablecida funciona desde el primer momento, ofreciendo protecciones básicas contra el compromiso de cuentas y bloqueando de forma predeterminada los protocolos de autenticación heredados.

Desplegarlo sin contratiempos es importante. Avisa a tus usuarios con antelación para que nadie se encuentre por sorpresa con las nuevas solicitudes. Ayuda a quienes estén menos familiarizados con las herramientas de MFA o las aplicaciones de autenticación. Si es posible, prueba primero la configuración con un grupo piloto, solo para asegurarte de que no haya sorpresas con las aplicaciones de trabajo críticas o las cuentas de servicio.

La clave está en no confiar en el "configúralo y olvídate". Revisa periódicamente quién tiene activados los valores predeterminados de seguridad y comprueba si hay cuentas que puedan quedar fuera. Si más adelante necesitas controles más granulares, valora añadir el Acceso condicional por fases, pero empieza de forma sencilla y segura. Para un plan de despliegue seguro e ideas para cerrar brechas invisibles, esta guía práctica de Acceso condicional recoge los escollos y las estrategias que te interesa conocer.

MFA para empresas: buenas prácticas para la aplicación de directivas y la mitigación de riesgos

1. Aplica la MFA a todos sin excepciones por comodidad. Asegúrate de que todas las cuentas de usuario (no solo las de administrador) estén cubiertas por las directivas de MFA, incluidas las de personal temporal, proveedores y directivos. Las exclusiones deben ser excepcionales y siempre limitadas en el tiempo, con una justificación empresarial sólida.
2. Protege las cuentas de servicio y las cuentas no humanas con soluciones modernas. Las cuentas de servicio tradicionales pueden ser grandes brechas en la MFA. Modernízalas con herramientas como las Identidades de carga de trabajo de Entra para la autenticación administrada, lo que permite la gestión del ciclo de vida y la auditoría. Puedes ver más sobre este enfoque en este análisis sobre el riesgo de las identidades no humanas.
3. Incorpora a los usuarios con la formación y el soporte adecuados. Ayuda a los usuarios a configurar las aplicaciones de autenticación o los tokens físicos, y explícales por qué la MFA es importante. Ofrece soporte de mesa de ayuda durante el despliegue, sobre todo para los usuarios que no estén familiarizados con las nuevas solicitudes de MFA, como la coincidencia de números.
4. Supervisa los intentos de omitir la MFA y los inicios de sesión anómalos. Configura alertas y registros para detectar cuándo falta la MFA en escenarios de alto riesgo previstos o cuándo se cuelan protocolos heredados. Automatiza la respuesta a incidentes siempre que sea posible, por ejemplo restableciendo contraseñas o activando una MFA reforzada en inicios de sesión arriesgados.
5. Audita periódicamente la cobertura de MFA y el cumplimiento de las directivas. No des por hecho que la cobertura está "resuelta". Usa los paneles de identidad y los informes tanto de Microsoft 365 como de otras plataformas si trabajas en entornos multinube. Traduce los hallazgos en informes claros para que TI y la dirección vean dónde persiste el riesgo. La gobernanza eficaz va más allá de botones y conmutadores; para una visión más profunda, revisa estas lecciones de los fallos de gobernanza en M365.

Siguiendo esta lista de comprobación, reduces considerablemente el riesgo de que los atacantes se salten la MFA, por muy ingeniosa que sea la técnica. La coherencia, las directivas claras y las revisiones periódicas mantienen la protección firme y las brechas cerradas.