MFA y passkeys: desplegar autenticación resistente al phishing

Las credenciales robadas y obtenidas por phishing siguen siendo la forma más común en que los atacantes consiguen su primer punto de apoyo, y por eso la autenticación multifactor se ha vuelto un requisito básico. Sin embargo, no toda MFA es igual: los códigos de un solo uso y las notificaciones push que la mayoría de las organizaciones desplegaron hace una década son cada vez más derrotados por proxies de phishing, bombardeo de notificaciones e intercambio de SIM. La frontera defensiva actual es la autenticación resistente al phishing basada en criptografía de clave pública, entregada a los usuarios como passkeys. Este artículo adopta una visión de endurecimiento, de blue team, sobre el despliegue de MFA y passkeys: cómo difieren los mecanismos subyacentes, por qué algunos factores resisten el phishing y otros no, qué monitorizar durante y después del despliegue y cómo migrar una base de usuarios real sin bloquear a la gente ni dejar respaldos débiles que deshagan en silencio todo el esfuerzo.

Qué le aporta realmente la MFA#

La autenticación multifactor exige más de una categoría de prueba: algo que se sabe, algo que se tiene o algo que se es. Su valor es que un único secreto robado, normalmente una contraseña, ya no otorga acceso por sí solo. En la práctica la MFA reduce drásticamente el éxito de las campañas masivas de relleno de credenciales y de rociado de contraseñas, porque el atacante que reproduce una contraseña filtrada se detiene en el segundo factor. Pero la MFA es un espectro, no una casilla de verificación. Un factor solo ayuda contra las amenazas para las que fue diseñado, y la debilidad clásica de la MFA temprana es que muchos segundos factores pueden ser capturados o retransmitidos por un atacante situado entre el usuario y el sitio real. Entender ese espectro es la diferencia entre una MFA que molesta a los criminales y una MFA que los detiene.

Por qué la resistencia al phishing es el verdadero objetivo#

El phishing moderno de credenciales rara vez pide a la víctima una contraseña en una página falsa burda; ejecuta un proxy inverso en tiempo real que se sitúa entre el usuario y el servicio legítimo, retransmitiendo cada campo incluido el código de un solo uso y capturando el token de sesión resultante. Contra esta técnica de adversario en el medio, los factores de secreto compartido como los códigos SMS, los códigos de aplicaciones de autenticación e incluso las simples aprobaciones push ofrecen una protección limitada, porque lo que el usuario escribe o toca puede retransmitirse. La autenticación resistente al phishing rompe esto al vincular criptográficamente el inicio de sesión al origen exacto del sitio, de modo que una credencial presentada a un dominio imitador simplemente no funciona. Este vínculo de origen, no la mera presencia de un segundo factor, es lo que derrota la técnica de phishing dominante en uso hoy.

Cómo funcionan las passkeys y FIDO2#

Las passkeys son una forma fácil de usar de los estándares FIDO2 y WebAuthn. Durante el registro, el dispositivo del usuario genera un par de claves pública-privada para ese sitio concreto; la clave privada nunca abandona el autenticador, ya sea una llave de seguridad, un teléfono o el hardware seguro de un portátil, y solo la clave pública queda almacenada por el servicio. Al iniciar sesión, el sitio envía un desafío, el autenticador lo firma con la clave privada tras un gesto local del usuario como una biometría o un PIN, y el navegador garantiza que la firma está vinculada al origen real. Como no hay secreto compartido que robar por phishing, ni código que retransmitir, y la firma no vale nada en ningún otro dominio, las passkeys son inherentemente resistentes al phishing. Las passkeys sincronizadas respaldan la clave entre los dispositivos de un usuario por comodidad, mientras que las claves vinculadas al dispositivo la mantienen en un único token de hardware para la máxima garantía.

La superficie de ataque que permanece#

Adoptar factores fuertes cierra la puerta principal pero no todas las ventanas, así que mapee lo que queda. La debilidad más común tras un despliegue de passkeys es la ruta de respaldo: si un usuario todavía puede autenticarse con una contraseña más un código SMS cuando la passkey no está disponible, un atacante simplemente fuerza esa ruta más débil. La recuperación de cuenta se convierte en el nuevo objetivo blando, porque una mesa de ayuda que restablece factores en una llamada telefónica reintroduce la ingeniería social. Los tokens de sesión emitidos tras un inicio de sesión fuerte todavía pueden robarse mediante malware o robo de tokens, así que la vida útil y el vínculo del token importan. Y el propio registro es un momento sensible: un atacante que registra su propio autenticador durante la incorporación gana acceso legítimo. El endurecimiento significa tratar la recuperación, el respaldo y el registro como partes de primer orden del sistema de autenticación, no como añadidos.

Señales de detección que vigilar#

La autenticación es rica en telemetría si la recopila. Vigile solicitudes repetidas de MFA a un único usuario en una ventana corta, la firma del bombardeo de notificaciones, y alerte cuando un usuario finalmente aprueba tras muchas negativas. Monitorice los eventos de registro de factores, en especial un nuevo autenticador añadido poco antes de actividad sensible, y marque los registros desde dispositivos o ubicaciones desconocidas. Rastree el uso del respaldo: un aumento súbito de inicios de sesión con contraseña más SMS en usuarios que normalmente usan passkeys sugiere una interrupción o un ataque que dirige a las víctimas a la ruta débil. Vigile inicios de sesión de viaje imposible y de dispositivo nuevo, tokens de sesión usados desde una dirección distinta a donde se emitieron y restablecimientos iniciados por la mesa de ayuda correlacionados con accesos sospechosos posteriores. Alimente todo esto en un SIEM con alertas, porque el valor de la autenticación fuerte se multiplica cuando puede ver los intentos de rodearla.

Desplegarlo sin bloquear a los usuarios#

Un despliegue exitoso es por fases y medido. Empiece habilitando las passkeys junto a los factores existentes para que los usuarios se registren voluntariamente, priorizando primero a los administradores y otras cuentas de alto valor. Comunique con claridad, ofrezca un flujo de registro sencillo y exija al menos dos autenticadores por usuario para que perder un dispositivo sea molesto en lugar de catastrófico. A medida que crece la adopción, restrinja o retire progresivamente los factores débiles, empezando por desactivar el SMS para los roles privilegiados. Es crucial rediseñar la recuperación de cuenta para que sea tan fuerte como la ruta principal, usando llaves de seguridad de respaldo preregistradas o un proceso de recuperación verificado y de alta garantía en lugar de una llamada a la mesa de ayuda. Mida la cobertura de registro y el uso del respaldo de forma continua, y retire los factores antiguos solo cuando los fuertes estén probados y la recuperación sea sólida.

Errores comunes#

El error clásico es desplegar autenticación fuerte mientras se deja un respaldo débil habilitado de forma permanente, lo que significa que el entorno solo es tan seguro como su opción más blanda. Otro es descuidar la recuperación, de modo que un inicio de sesión endurecido queda detrás de una mesa de ayuda que restablecerá cualquier cosa para quien llame sonando convincente. Los equipos a veces registran una sola passkey por usuario y luego enfrentan bloqueos masivos cuando los dispositivos se pierden o reemplazan. Confiar en aprobaciones push sin coincidencia de números invita a la fatiga por bombardeo de notificaciones. Y tratar el registro como de bajo riesgo permite a los atacantes autorregistrarse durante la incorporación. Cada error comparte un tema: la fortaleza de la autenticación la fija su ruta alcanzable más débil, así que toda ruta alternativa debe endurecerse al mismo nivel que la principal.

Lista de verificación de endurecimiento#

Priorice passkeys resistentes al phishing o llaves de seguridad primero para administradores y otras cuentas de alto valor. Exija al menos dos autenticadores por usuario para evitar el bloqueo por dispositivo único. Imponga la coincidencia de números y el contexto en cualquier factor push aún en uso, y retire el SMS para los roles privilegiados. Rediseñe la recuperación de cuenta para igualar la fortaleza del inicio de sesión principal, usando llaves de respaldo preregistradas o verificación de alta garantía en lugar de restablecimientos de la mesa de ayuda. Proteja el registro con identidad verificada y monitorización. Acorte la vida útil de las sesiones y vincule los tokens donde sea posible. Registre y alerte sobre bombardeo de notificaciones, registro de nuevos autenticadores, picos de uso del respaldo, viaje imposible y restablecimientos de la mesa de ayuda. Mida la cobertura de passkeys y lleve el uso de factores débiles hacia cero. Por último, pruebe escenarios de recuperación y bloqueo para que la red de seguridad funcione antes de que un usuario real la necesite.

Preguntas frecuentes: ¿Son seguras las passkeys si pierdo o me roban el teléfono?#

Sí, si se configuran correctamente. Una passkey está protegida por un gesto local como una biometría o un PIN del dispositivo, de modo que un ladrón con el dispositivo físico no puede usarla sin ese desbloqueo. Las passkeys sincronizadas se respaldan a través de la cuenta de la plataforma para que pueda restaurar el acceso en un dispositivo nuevo, mientras que las claves vinculadas al dispositivo requieren tener un segundo autenticador registrado, que es exactamente por qué registrar al menos dos es una regla y no una sugerencia. Perder un teléfono debería ser una molestia que resuelve su autenticador de respaldo o la recuperación verificada, nunca un bloqueo y nunca una apertura para un atacante.

Preguntas frecuentes: ¿Seguimos necesitando contraseñas después de las passkeys?#

El objetivo es reducir la dependencia de las contraseñas hasta que ya no den acceso a nada sensible. Durante la migración las contraseñas suelen permanecer como una opción mientras los usuarios se registran, pero la dirección es hacer de la passkey el factor primario y con el tiempo el único interactivo, eliminando la contraseña o reduciéndola a un elemento de recuperación poco usado y bien protegido. Lo que debe evitar es mantener una ruta de contraseña más código débil disponible de forma permanente, porque eso deshace la resistencia al phishing que desplegó las passkeys para lograr.

Conclusión#

La MFA se ganó su lugar al neutralizar las contraseñas robadas, pero los atacantes se adaptaron, y los proxies de phishing ahora derrotan los factores de secreto compartido en los que muchas organizaciones aún confían. La respuesta duradera es la autenticación resistente al phishing entregada como passkeys, cuyo vínculo criptográfico con el origen real del sitio elimina el mismísimo secreto del que depende el phishing. El despliegue es donde vive la mayor parte del riesgo: retire los respaldos débiles de forma deliberada, haga que la recuperación y el registro sean tan fuertes como el propio inicio de sesión, exija más de un autenticador y vigile la telemetría en busca de intentos de dirigir a los usuarios hacia la ruta blanda. Hágalo, y la autenticación deja de ser la puerta más fácil del atacante y se convierte en uno de sus muros más fuertes.