MFA y Contraseñas: La Defensa Más Barata que Casi Nadie Activa

La contraseña de tu empresa probablemente ya se filtró

Te tengo una mala noticia. Si tu equipo usa el mismo correo para trabajo y para registrarse en tiendas, foros y apps, hay una probabilidad alta de que su contraseña ya ande circulando en alguna filtración. No porque tu empresa fuera hackeada, sino porque alguna de esas otras plataformas lo fue, y la gente reusa contraseñas.

Según el DBIR de Verizon, alrededor del 81% de las brechas relacionadas con hackeo involucran contraseñas robadas o débiles. Es el vector número uno. Y lo frustrante es que la defensa principal —la autenticación multifactor (MFA)— es de lo más barato que existe en ciberseguridad y la mayoría todavía no la activa.

"Pensábamos que estábamos bien porque teníamos antivirus. El atacante no necesitó ningún virus: entró con la contraseña del correo de un vendedor, que era la misma que usaba en todos lados. Desde ahí mandó facturas falsas a nuestros clientes." — Director, comercializadora en CDMX

Lo esencial en cinco puntos

• Las contraseñas robadas o débiles son el vector número uno de ataque.
• El MFA bloquea la enorme mayoría de los ataques automatizados a cuentas — y cuesta casi nada.
• No todos los MFA son iguales: el de app o llave física es muy superior al de SMS.
• Un gestor de contraseñas resuelve el problema de raíz: contraseñas únicas y fuertes sin memorizar nada.
• La capacitación cierra el círculo: la tecnología frena al bot, el criterio frena al engaño.

¿Qué es el MFA y por qué funciona tan bien?

La autenticación multifactor exige dos pruebas distintas de que eres tú: algo que sabes (contraseña) más algo que tienes (tu celular, una llave física) o algo que eres (huella). Aunque un atacante robe la contraseña, sin el segundo factor no entra.

El número que lo resume todo: Microsoft reportó que el MFA bloquea más del 99% de los ataques automatizados de toma de cuentas. Pocas medidas de seguridad ofrecen esa relación entre lo que cuestan (prácticamente nada) y lo que evitan (un desastre).

No todos los segundos factores son iguales

Y aquí viene un matiz que casi nadie aclara. El MFA por SMS —ese código que te llega por mensaje— es mejor que nada, pero es el más débil: los códigos se interceptan y existe el fraude de "SIM swapping". Mucho mejor:

• App autenticadora (Microsoft, Google Authenticator): genera el código en el teléfono, sin depender de la red celular.
• Llave física de seguridad (estándar FIDO2): lo más fuerte. Resiste hasta el phishing más sofisticado.

El gestor de contraseñas: arreglar el problema de raíz

El MFA es el segundo candado. Pero el primero —la contraseña— también hay que arreglarlo, y "pídele a tu gente que use contraseñas más fuertes" no funciona. Nadie memoriza 40 contraseñas únicas. Por eso reusan.

La solución real es un gestor de contraseñas: una bóveda cifrada donde el sistema genera y guarda una contraseña distinta, larga y aleatoria para cada servicio. El usuario solo recuerda una contraseña maestra. De golpe desaparecen el reúso, los post-its bajo el teclado y las contraseñas en un Excel llamado "claves.xlsx".

Comparativa: cuánto cuesta vs. qué evita

Medida	Costo	Qué frena
MFA en app (autenticadora)	Casi cero	+99% de tomas de cuenta automatizadas
Llave física FIDO2	Bajo (por usuario)	Hasta phishing avanzado
Gestor de contraseñas	Bajo (por usuario/mes)	Reúso y contraseñas débiles
Capacitación anti-phishing	Medio, recurrente	El engaño que la tecnología no ve
Costo de una cuenta comprometida	Alto a catastrófico	—

Lo que la tecnología no frena: el engaño

Ahora, seamos honestos: el MFA y el gestor frenan al bot, no necesariamente al humano astuto. Un atacante puede llamar a tu empleado haciéndose pasar por soporte y pedirle el código del MFA "para resolver un problema". Por eso la capa final es la capacitación: que tu gente sepa que nadie legítimo le va a pedir su código, jamás. Esto se conecta directo con la nueva ola de fraude con deepfakes e IA, donde el engaño suena cada vez más real.

Y todo esto es la base que después te permite ir por algo más formal. Si vas a certificarte, el control de accesos e identidades es una de las primeras cosas que revisa la norma — lo cubrimos en nuestra guía de ISO 27001 para PyMEs. Y recuerda que el MFA es prevención: si igual te pega un ataque, lo que te salva es el respaldo, y la mayoría descubre tarde que su backup no servía.

El punto incómodo

Lo difícil de esto no es técnico. Activar MFA en tu correo corporativo toma una tarde. Lo difícil es la resistencia: "es que es incómodo", "ya con la contraseña basta". No basta. La incomodidad de teclear un código de seis dígitos dura tres segundos; la de explicarles a tus clientes por qué les llegaron facturas falsas desde tu correo dura meses. En SCRAM activamos MFA, desplegamos el gestor y capacitamos al equipo como un paquete — porque las tres piezas juntas son las que de verdad cierran la puerta.

Referencias:

• Verizon, Data Breach Investigations Report (DBIR)
• Microsoft, Security Intelligence — eficacia del MFA
• NIST SP 800-63B, Digital Identity Guidelines

Para profundizar en este tema

• Deepfakes y Fraude con IA: La Nueva Estafa que Vacía Cuentas
• Ransomware en México: 83% de Empresas No Sobrevive el Ataque
• ISO 27001 Para PyMEs Mexicanas: Costo Real, Tiempo y ROI en 2026