Microsoft Entra ID y la Autenticación MFA

La autenticación multifactor es un método de seguridad que requiere más de una prueba para confirmar que eres quien dices ser. No basta con una simple contraseña, que puede ser robada o adivinada. Se necesitan factores adicionales, como:

• Algo que sabes: Contraseña o PIN.

• Algo que tienes: Un dispositivo móvil, una llave de seguridad.

• Algo que eres: Huella digital, reconocimiento facial.

Usar MFA reduce en 99.9% el riesgo de accesos no autorizados, según Microsoft. Es decir, si alguien roba tu contraseña, no podrá entrar sin el segundo factor de autenticación.

Configurar MFA no es solo activarlo y ya. Hay formas más efectivas de hacerlo para evitar fricciones con los usuarios y maximizar la seguridad. Aquí algunos puntos clave:

1. Evita los códigos SMS y usa métodos resistentes al phishing

Los hackers han desarrollado ataques para interceptar mensajes SMS y correos electrónicos con códigos de autenticación. La mejor opción es usar llaves de seguridad físicas (FIDO2), autenticación biométrica o aplicaciones como Microsoft Authenticator.

2. Controla desde dónde pueden iniciar sesión los usuarios

Configurar acceso condicional en Microsoft Entra ID permite restringir inicios de sesión desde ubicaciones desconocidas o dispositivos no autorizados. Así, aunque alguien tenga credenciales robadas, no podrá usarlas desde cualquier parte del mundo.

3. Reduce la fatiga de MFA

A veces, los usuarios reciben tantas notificaciones de autenticación que terminan aceptando accesos sin verificar. Esto fue lo que pasó en el hackeo de Uber en 2022, donde un atacante envió múltiples solicitudes hasta que un empleado aceptó por error. Para evitarlo, limita las aprobaciones de MFA a una cantidad razonable y usa autenticación sin contraseña.

4. Haz que la seguridad sea fácil de usar

Si MFA es muy engorroso, la gente buscará cómo saltárselo. Configura métodos rápidos y convenientes, como autenticación biométrica o Windows Hello, para que el acceso sea seguro sin volverse molesto.

5. Capacita a los usuarios

Ningún sistema de seguridad funciona si las personas no saben cómo usarlo. Es clave educar a los empleados sobre cómo funciona MFA y por qué es importante.

En 2022, Uber sufrió un ataque cibernético grave cuando un hacker utilizó una técnica llamada fatiga de MFA. Bombardeó con solicitudes de autenticación a un empleado hasta que este, cansado, aceptó una por error. Con ese acceso, el atacante logró infiltrarse en los sistemas internos de Uber, exponiendo información sensible.

Este caso muestra la importancia de configurar MFA de manera segura y evitar depender solo de métodos como aprobaciones de notificaciones sin verificación adicional.

Conclusión

Microsoft Entra ID ofrece múltiples opciones para implementar MFA de manera efectiva. No basta con activarlo, hay que configurarlo bien para evitar ataques como el de Uber. Usar autenticación sin contraseña, restringir accesos sospechosos y capacitar a los usuarios son claves para una seguridad sólida.

¿Listo para mejorar la seguridad de tu organización? Configurar MFA de forma correcta es el primer paso.