Autenticación multifactor en la empresa: cómo implantarla en una pyme

Implantar la autenticación multifactor (MFA) en la empresa consiste en exigir, además de la contraseña, una segunda prueba de identidad (una aplicación en el móvil, una llave física o la huella) para entrar en el correo, la nube y los sistemas críticos. En una pyme se puede activar en pocas semanas y sin grandes costes, pero solo funciona si se empieza por las cuentas que más daño pueden causar, se eligen métodos difíciles de engañar y se cierran las excepciones, incluidas las de los proveedores.

La razón para hacerlo ya es sencilla: el robo y el abuso de credenciales sigue siendo una de las vías principales de los ataques. El Data Breach Investigations Report 2026 de Verizon sitúa el abuso de credenciales en el 39 % de las brechas analizadas si se cuenta cualquier fase del ataque, y el 48 % de las brechas implicó a un tercero, como un proveedor o un socio.

Por qué la contraseña sola ya no basta

Una contraseña se puede adivinar, reutilizar desde otra filtración o capturar con phishing. Con MFA, quien la consigue sigue necesitando el segundo factor. Microsoft afirma en su documentación de los valores predeterminados de seguridad de Microsoft Entra ID que la MFA, junto con el bloqueo de la autenticación heredada, detiene más del 99,9 % de los ataques de identidad más comunes.

Los grandes proveedores ya lo están imponiendo en sus consolas: Microsoft exige MFA en el portal de Azure desde marzo de 2025 y bloquea desde el 9 de febrero de 2026 el acceso sin MFA al centro de administración de Microsoft 365, según BleepingComputer. Google, por su parte, está haciendo obligatoria la verificación en dos pasos para los administradores de Google Workspace.

Qué cuentas proteger primero

No todos los accesos pesan igual. El orden que mejor reduce el riesgo en una pyme es este:

1. Administradores. Cuentas de administración de Microsoft 365 o Google Workspace, del dominio, del cortafuegos y de la nube.
2. Correo de todos los empleados. Es la puerta para restablecer otras contraseñas y la base del fraude del CEO.
3. Accesos remotos. VPN, escritorio remoto y herramientas de soporte a distancia, sobre todo si están expuestas a internet.
4. Banca, finanzas y nóminas. Banca online, pasarela de pagos, programa de nóminas y plataformas de la Administración.
5. Sistemas de negocio. ERP, CRM, tienda online y la consola de las copias de seguridad: si el atacante puede borrar las copias, el impacto se multiplica.

Qué método de MFA elegir

La guía de la CISA estadounidense sobre MFA resistente al phishing los ordena de más a menos seguro, y la conclusión práctica para una pyme es:

• Llaves de seguridad o passkeys (FIDO2/WebAuthn): la opción más robusta, porque no se pueden capturar con una web falsa. Recomendable para administradores y para quien maneja pagos.
• Aplicación de autenticación con coincidencia de número: el estándar razonable para la mayoría de la plantilla. Evita que alguien apruebe por error una notificación que no ha pedido.
• Notificación simple de aprobar o rechazar: mejor que nada, pero expuesta a la «fatiga de MFA», el bombardeo de avisos hasta que el usuario acepta.
• Códigos por SMS o llamada: solo como último recurso. INCIBE ya advertía en su guía sobre el doble factor para acceder a servicios críticos de que los códigos por SMS o correo son más vulnerables porque pueden interceptarse.

Cómo implantarla paso a paso en Microsoft 365 o Google Workspace

1. Haz inventario de cuentas. Lista usuarios, administradores, cuentas compartidas (facturacion@, info@) y cuentas de servicio. Las compartidas son el punto débil más habitual: conviértelas en buzones compartidos sin inicio de sesión propio o asígnales un responsable.
2. Activa la protección base. En Microsoft 365, si no tienes licencias Entra ID P1, los valores predeterminados de seguridad no tienen coste y obligan a registrar MFA y bloquean la autenticación heredada. Con P1 o superior, el acceso condicional permite reglas más finas. En Google Workspace, la verificación en dos pasos se impone desde la consola de administración por unidad organizativa.
3. Empieza por un grupo piloto. Dirección, administración y TI durante una o dos semanas, para detectar problemas con impresoras, escáneres que envían correo o aplicaciones antiguas.
4. Comunica antes de exigir. Un correo breve con el porqué, la fecha y una guía de instalación reduce las incidencias.
5. Extiende a toda la plantilla con fecha límite y bloquea a quien no se haya registrado pasado el plazo.
6. Prepara la recuperación. Define cómo se verifica la identidad de quien pierde el móvil antes de restablecer su MFA. Es el momento que aprovechan quienes llaman haciéndose pasar por un empleado.
7. Revisa las excepciones cada mes. Cada cuenta sin MFA debe tener un motivo, un responsable y una fecha de caducidad.

Altas, bajas y cambios de puesto

La MFA protege la puerta, pero no sirve de mucho si siguen activas las llaves de quien ya no está. Una pyme necesita un procedimiento sencillo, coordinado entre recursos humanos y TI: el día de la baja se bloquea la cuenta, se revocan las sesiones abiertas, se retiran los dispositivos registrados como segundo factor y se cambian las contraseñas compartidas que conocía esa persona. En los cambios de puesto, se retiran los permisos antiguos antes de añadir los nuevos.

Proveedores y accesos externos

El mismo informe de Verizon señala que solo el 23 % de las organizaciones terceras analizadas corrigió por completo la ausencia o mala configuración de su MFA. Para cada proveedor con acceso conviene exigir:

• Cuentas nominativas, nunca un usuario genérico compartido por todo su equipo.
• MFA obligatoria en su acceso a tus sistemas, por contrato y verificada.
• Permisos mínimos y una fecha de caducidad del acceso.
• Un responsable interno que revise cada trimestre qué proveedores siguen entrando y por qué.

Estos controles conectan directamente con la continuidad del negocio: en nuestra guía sobre qué hacer antes, durante y después de un ataque de ransomware explicamos por qué el doble factor es la medida que más ataques corta en su origen.

Quién debe dirigirlo

Activar la MFA es una tarea técnica; mantenerla sin excepciones olvidadas es una tarea de gobierno. Alguien tiene que decidir qué cuentas son críticas, aprobar excepciones, pedir evidencias a los proveedores y reportar a dirección el porcentaje de cuentas con MFA. En muchas pymes ese papel no existe, y por eso tiene sentido apoyarse en un CISO externo que dirija la ciberseguridad de la pyme con una dedicación proporcionada a su tamaño.

Preguntas frecuentes

¿La autenticación multifactor es obligatoria para las empresas?

No existe una obligación general para todas las empresas, pero sí se exige en contextos concretos, como el acceso a las consolas de administración de Microsoft y Google, y la piden cada vez más los seguros de ciberriesgo y los clientes grandes a sus proveedores. Además, el RGPD obliga a aplicar medidas de seguridad adecuadas al riesgo.

¿Cuánto cuesta implantar MFA en una pyme?

La MFA básica está incluida en Microsoft 365 y Google Workspace, y las aplicaciones de autenticación son gratuitas. El coste real está en el tiempo de preparación y soporte, y en las llaves físicas si se deciden para los perfiles críticos.

¿Qué hago con las cuentas que no admiten MFA?

Limita desde dónde se usan, dales una contraseña larga y única en un gestor de contraseñas y planifica su sustitución. Mientras tanto, van a la lista de excepciones.

Conclusión

La autenticación multifactor es probablemente el control de seguridad con mejor relación entre esfuerzo e impacto para una pyme, siempre que se empiece por administradores y correo, se elijan métodos resistentes al phishing y se gobiernen las excepciones, las bajas y los proveedores. Si quieres saber qué cuentas de tu empresa siguen expuestas, solicita una conversación inicial de 30 minutos con RAZNAR y te ayudamos a priorizar los primeros pasos.