MFA resistente al phishing: migración por fases

Ciberseguridad · 4 min

Los códigos por SMS y las notificaciones push siguen siendo vulnerables a la ingeniería social. Descubra cómo priorizar sistemas, gestionar excepciones y proteger la recuperación de credenciales.

MFA resistente al phishing: migración por fases

TL;DR

No todos los métodos de autenticación multifactor ofrecen la misma protección contra el phishing.
FIDO2/WebAuthn y la autenticación basada en PKI asocian la credencial al servicio legítimo y resisten a las páginas falsas.
La migración debe comenzar por los sistemas y perfiles más atacados: correo, acceso remoto y administradores.
El registro y la recuperación de credenciales se convierten en el punto débil si aceptan métodos menos robustos.
Las excepciones documentadas y las métricas de adopción ayudan a gestionar lo que aún no puede migrar.

No toda la autenticación multifactor protege por igual

La autenticación multifactor (MFA) se ha generalizado en las empresas, pero los métodos más comunes, como los códigos por SMS, los códigos temporales en aplicaciones o las notificaciones push, siguen dependiendo de que el usuario reconozca un intento de fraude. La CISA, la agencia estadounidense de ciberseguridad, considera la MFA resistente al phishing la forma más segura de MFA y recomienda tratar la migración como una prioridad. Para un CISO o responsable de TI, la cuestión práctica es cómo hacer esa transición sin interrumpir la operación ni crear nuevos puntos débiles.

Los métodos tradicionales tienen debilidades conocidas

Las debilidades están documentadas. Un atacante puede convencer a un operador móvil de que transfiera el número de la víctima y recibir los códigos por SMS, o enviar solicitudes push repetidas hasta que una sea aprobada por error o por cansancio. Las páginas de autenticación falsas también pueden capturar el código y reutilizarlo en tiempo real. Los métodos basados en FIDO2/WebAuthn asocian la credencial al dominio legítimo, por lo que la autenticación falla cuando el usuario es dirigido a un sitio fraudulento. La autenticación basada en certificados digitales, respaldada por una infraestructura de clave pública (PKI), también puede ofrecer resistencia al phishing cuando se implementa correctamente y se vincula al servicio legítimo. Sin embargo, exige una mayor madurez en la gestión de identidades y certificados y no siempre es compatible con las aplicaciones utilizadas. La diferencia está, por tanto, menos en la existencia de un segundo factor y más en la forma en que ese factor se vincula al servicio legítimo.

El inventario define las prioridades

Antes de distribuir llaves de seguridad o activar passkeys, conviene saber qué sistemas admiten estos métodos, cuáles dependen de un proveedor de identidad central y cuáles siguen utilizando protocolos de autenticación antiguos. La guía de la CISA recomienda dar prioridad a las cuentas administrativas y privilegiadas. La selección de los sistemas que se van a migrar debe tener en cuenta la exposición al riesgo, la criticidad de los servicios y la información accesible, incluyendo, según el contexto, correo electrónico, acceso remoto y aplicaciones con datos sensibles. En el acceso remoto, la migración puede articularse con una arquitectura Zero Trust / ZTNA, en la que cada solicitud se evalúa en función de la identidad y del contexto. Las aplicaciones antiguas sin soporte para autenticación moderna pueden colocarse detrás de un proveedor de identidad federado o aislarse con controles compensatorios, según el caso.

Registro y recuperación son el nuevo punto de ataque

La eficacia de un método de autenticación resistente al phishing puede verse comprometida si los procesos de registro inicial, sustitución de autenticadores o recuperación de acceso permiten eludir los controles implementados. Si la reposición de una llave perdida depende de una llamada al helpdesk con una verificación superficial, o del retorno automático al SMS, el atacante pasa a apuntar a ese proceso. Es una buena práctica verificar la identidad durante el registro, prever autenticadores de reserva y limitar los métodos alternativos que puedan permitir eludir los controles de autenticación. Las cuentas de emergencia requieren un tratamiento propio, descrito en accesos de emergencia. La elección entre llaves físicas asociadas a un dispositivo y passkeys sincronizadas entre equipos implica un equilibrio entre control y comodidad, que debe evaluarse caso por caso.

Métricas y excepciones hacen gestionable la transición

La migración rara vez se completa en un único ciclo. Seguir la proporción de cuentas con métodos resistentes al phishing, por sistema y por perfil, ayuda a mostrar el progreso y a identificar bolsas de resistencia. Cada excepción debe tener un responsable, una justificación y un plazo de revisión. Cuando aún no es posible implementar métodos resistentes al phishing, la CISA recomienda la coincidencia numérica en las notificaciones push como medida intermedia para reducir el riesgo asociado a la aprobación indebida de solicitudes de autenticación. Esta medida no hace, por sí sola, que el método sea resistente al phishing. Vigilar el uso de métodos alternativos y los inicios de sesión anómalos complementa este trabajo, en una lógica cercana a la detección de riesgos de identidad.

Una transición gradual, ajustada al riesgo

La MFA resistente al phishing puede reducir significativamente el riesgo de compromiso de cuentas mediante ataques de phishing, aunque no sustituye la gestión de privilegios, la protección de los equipos ni la monitorización. El ritmo adecuado depende del parque de aplicaciones, de la madurez de la gestión de identidades y de la tolerancia de la organización a los cambios en los hábitos de los usuarios. Un enfoque por fases, que comience por los sistemas y las personas más expuestos y trate con el mismo cuidado el registro y la recuperación, tiende a producir resultados más sólidos que una sustitución realizada de una sola vez.