MFA en Microsoft 365: qué es, cómo funciona y qué método elegir

Si tuviera que elegir una sola medida para proteger un Microsoft 365, sería esta: activar la autenticación multifactor (MFA) en todas las cuentas. Es la que más ataques frena con menos esfuerzo. Pero no todos los métodos de MFA protegen igual, y elegir mal puede dar una falsa sensación de seguridad.

En este artículo te explico qué es la MFA, cómo funciona por dentro y qué método conviene en cada caso, de mejor a peor.

Qué es la MFA y por qué una contraseña ya no basta

Una contraseña es algo que sabes. El problema es que lo que sabes se puede copiar: se filtra en una brecha de otra web, se reutiliza en varios sitios, se adivina o se entrega sin querer en una página falsa que imita a la de Microsoft. Y con la contraseña, el atacante entra como si fueras tú.

La autenticación multifactor exige, además, una prueba de otro tipo:

• Algo que sabes: una contraseña o un PIN.
• Algo que tienes: tu móvil, una llave de seguridad.
• Algo que eres: tu huella o tu cara.

La idea es sencilla: aunque roben uno de los factores, sin el otro no pueden entrar. Un atacante en otro país puede tener tu contraseña, pero no tiene tu móvil en la mano.

Microsoft lo tiene tan claro que ya exige MFA para entrar en sus portales de administración de Azure y Microsoft 365. Para el resto de cuentas, la decisión es tuya. Y la respuesta debería ser sí.

No toda la MFA es igual: el phishing moderno

Aquí está el matiz que casi nadie explica. Hoy existen ataques de phishing que se cuelan en medio de tu inicio de sesión: te llevan a una página falsa que reenvía en directo todo lo que haces a la página real de Microsoft. Escribes la contraseña, apruebas la notificación en el móvil... y el atacante se queda con la sesión ya iniciada.

Contra eso, un código de seis cifras o una notificación «Aprobar» no sirven, porque tú mismo se los entregas a la página falsa. Solo resisten los métodos resistentes al phishing: las passkeys (FIDO2), Windows Hello para empresas y la autenticación por certificado. Funcionan con criptografía ligada al dominio real de Microsoft: si la web no es la auténtica, la llave simplemente no responde.

Otro ataque habitual es la fatiga de MFA: el atacante, que ya tiene tu contraseña, lanza decenas de solicitudes hasta que alguien, harto o por despiste, pulsa «Aprobar». Por eso Microsoft Authenticator ahora obliga a escribir un número que aparece en la pantalla del ordenador: ya no basta con un toque.

Con esto en mente, vamos a los métodos.

Los métodos, de más a menos recomendable

Passkeys (FIDO2): la opción más segura

• Seguridad: muy alta, resistente al phishing.
• Comodidad: muy alta una vez configurada.

Una passkey sustituye a la contraseña por una clave criptográfica guardada en una llave de seguridad física (tipo USB o NFC) o en el propio Microsoft Authenticator del móvil. Inicias sesión con la huella, la cara o un PIN, y no hay nada que se pueda copiar ni reutilizar.

Mi opinión: es el camino hacia un acceso sin contraseñas. Imprescindible para administradores y para quien maneja datos sensibles, y cada vez más razonable para todos.

Microsoft Authenticator: el estándar para la mayoría

• Seguridad: alta.
• Comodidad: muy alta.
• Disponible en: iOS y Android.

Permite aprobar el inicio de sesión con una notificación en la que escribes el número que aparece en pantalla, usar un código temporal o, como hemos visto, guardar una passkey. Además puede mostrar desde qué aplicación y ubicación se pide el acceso, lo que ayuda a detectar intentos sospechosos.

Mi opinión: es el método por defecto que recomendaría a cualquier usuario. Solo ten en cuenta que la notificación, por sí sola, no frena el phishing más avanzado. Para cuentas críticas, combínalo con passkeys.

Pase de acceso temporal (TAP)

• Seguridad: alta.
• Uso: puntual.

Es un código que genera el administrador y que caduca en el tiempo que indiques. Sirve para que un empleado nuevo configure su primer método de MFA, o para que alguien que ha perdido el móvil recupere el acceso sin desactivar su protección.

Mi opinión: muy útil para el día a día de soporte y las altas de empleados. No es un método permanente: es la llave para configurar uno.

Códigos OATH (Google Authenticator, Authy y otros)

• Seguridad: buena.
• Comodidad: media, el código se escribe a mano.

Aplicaciones que generan un código que cambia cada 30 segundos. Funcionan sin conexión, pero no tienen notificaciones ni la comprobación del número, y el código se puede entregar a una página falsa igual que una contraseña.

Mi opinión: buena alternativa si alguien no quiere instalar Microsoft Authenticator, o como método de reserva.

Autenticación basada en certificados

• Seguridad: muy alta, resistente al phishing.
• Comodidad: depende de la infraestructura.

Usa certificados digitales en el dispositivo o en una tarjeta inteligente. Es muy segura, pero exige tener y mantener una infraestructura de certificados (PKI).

Mi opinión: tiene sentido en organizaciones que ya trabajan con certificados o con tarjetas inteligentes. Para una pyme, las passkeys dan el mismo nivel de seguridad con mucho menos trabajo.

Los métodos que conviene evitar

• SMS: el código puede interceptarse o el atacante puede quedarse con tu número mediante un duplicado de SIM. Es mejor que nada, pero es el eslabón débil.
• Llamada de voz: mismos problemas que el SMS, y además es fácil de explotar con ingeniería social («le llamo de soporte, apruebe la llamada que le va a entrar»).
• Código por correo electrónico: en Microsoft Entra se usa para invitados y usuarios externos, no como MFA de tus empleados. Tiene sentido: si te roban el correo, se llevan también el segundo factor.

Si hoy tus usuarios usan SMS o llamada, no hace falta quitarlos de golpe. Mueve primero a todos a Microsoft Authenticator o a passkeys y, cuando estén registrados, desactiva los métodos débiles.

Cómo aplicarlo en tu Microsoft 365

1. Elige los métodos permitidos en el centro de administración de Microsoft Entra, en la política de métodos de autenticación: Authenticator y passkeys activados; SMS y voz, solo mientras dure la transición.
2. Si tu licencia no incluye Acceso Condicional, activa los valores predeterminados de seguridad: obligan a todos a registrar Microsoft Authenticator y bloquean los protocolos antiguos que se saltan la MFA. Es gratis y cubre lo básico.
3. Si tienes Entra ID P1 (incluido, por ejemplo, en Microsoft 365 Business Premium), usa Acceso Condicional:
   • MFA para todos los usuarios y todas las aplicaciones.
   • Puntos fuertes de autenticación que exijan métodos resistentes al phishing a los administradores.
   • Bloqueo de la autenticación heredada.
4. Prepara las altas y las recuperaciones con TAP en lugar de desactivar la MFA «un momento».
5. Guarda dos cuentas de emergencia de administrador, excluidas del Acceso Condicional, protegidas con passkeys y vigiladas. Si algo falla en la configuración, son las que te dejan volver a entrar.

Qué método elegir

• Para la mayoría de usuarios: Microsoft Authenticator, con la comprobación del número.
• Para administradores y datos sensibles: passkeys (FIDO2).
• Para altas y recuperaciones: pase de acceso temporal.
• Como método de reserva: códigos OATH.
• Para evitar o retirar poco a poco: SMS, llamada de voz y correo electrónico.

Conclusión

La MFA no es opcional: es la diferencia entre una contraseña filtrada sin consecuencias y una cuenta comprometida. Empieza por activarla para todos con Microsoft Authenticator, protege a los administradores con passkeys y ve retirando los métodos débiles. Con eso, tu Microsoft 365 queda muy por encima de la media, y los atacantes buscarán una puerta más fácil que la tuya.