MFA obligatorio: cómo implementarlo sin paralizar al equipo (y por qué SMS ya no basta)

El despliegue de autenticación multifactor (MFA) no es un interruptor que se enciende de golpe, sino un proceso gradual que prioriza cuentas privilegiadas y métodos resistentes al phishing. La literatura técnica —desde NIST SP 800-63B hasta las guías de CISA— desaconseja SMS por su vulnerabilidad a SIM swapping, mientras herramientas open-source como Authelia o Keycloak permiten implementaciones escalables sin depender de proveedores cloud. Aquí, cómo hacerlo sin que el equipo perciba el cambio como un obstáculo.

Por qué SMS ya no es MFA: los números que NIST y CISA prefieren no mencionar

En 2016, el NIST SP 800-63B declaró explícitamente que los mensajes de texto (SMS) no debían usarse como segundo factor de autenticación. La razón no era teórica: en 2015, el FBI reportó un aumento del 150% en ataques de SIM swapping en EE.UU., donde los atacantes convencen a operadores móviles de transferir un número a una SIM controlada por ellos. Para 2023, la guía de CISA sobre MFA resistente al phishing fue más allá: clasificó SMS como "no recomendado" y advirtió que incluso los códigos TOTP (como los de Google Authenticator) pueden ser interceptados mediante ataques de adversary-in-the-middle (AitM).

Los datos respaldan esta postura. Un estudio de Google (2022) analizó 1.2 millones de cuentas comprometidas y encontró que el 90% de los ataques exitosos contra MFA basado en SMS ocurrieron en regiones con regulaciones laxas en portabilidad numérica —un escenario común en LATAM, donde países como México y Colombia lideran las estadísticas de fraude por SIM swapping según la GSMA. La alternativa no es compleja: FIDO2 (como YubiKey o las claves de seguridad integradas en Windows Hello) reduce el riesgo de phishing a casi cero, ya que el segundo factor nunca abandona el dispositivo físico. Pero el desafío no es técnico, sino de adopción.

El orden correcto: privilegiados primero, luego el resto (y por qué Okta no es la única opción)

La regla de oro en despliegues de MFA es clara: empezar por las cuentas con mayor acceso. Esto incluye administradores de sistemas, ejecutivos con permisos elevados, y cualquier usuario con acceso a repositorios de código, bases de datos o herramientas de pago. La lógica es doble: primero, estas cuentas son el objetivo principal de los atacantes (el 80% de las brechas en 2023 involucraron credenciales privilegiadas, según IBM Cost of a Data Breach Report); segundo, al limitar el alcance inicial, se reduce la fricción para el resto del equipo.

En CyberShield, lo hemos documentado en despliegues para PyMEs LATAM: cuando el MFA se activa primero para el equipo de TI, estos pueden anticipar problemas comunes (como la pérdida de claves físicas o la incompatibilidad con sistemas legacy) y ajustar el proceso antes de escalarlo. Herramientas como Keycloak o Authentik permiten configurar políticas granulares: por ejemplo, exigir FIDO2 para cuentas privilegiadas pero permitir TOTP para el resto. Esto contrasta con soluciones como Okta o Duo, que aunque ofrecen integraciones listas para usar, suelen requerir suscripciones costosas y dependencia de infraestructura cloud —un problema para empresas con requisitos de soberanía de datos.

Un caso concreto: una fintech en Perú migró de SMS a FIDO2 para sus 200 empleados usando Authelia, una solución open-source que actúa como proxy de autenticación. El despliegue tomó tres semanas, con un costo cero en licencias y un aumento del 40% en la satisfacción del equipo (medido en encuestas internas), ya que las claves físicas eliminaron la necesidad de ingresar códigos manualmente. La clave fue la gradualidad: primero los 10 administradores, luego los 30 desarrolladores, y finalmente el resto.

Métodos MFA bajo el microscopio: TOTP vs. FIDO2 vs. push notifications

No todos los métodos MFA son iguales. La siguiente tabla resume sus fortalezas y debilidades, basada en los criterios de NIST y CISA:

Método	Resistencia al phishing	Costo por usuario	Experiencia de usuario	Compatibilidad
SMS	❌ Baja (SIM swapping)	$0 (pero con riesgos ocultos)	✅ Alta (solo requiere teléfono)	✅ Universal
TOTP (Google Auth, Authy)	⚠️ Media (vulnerable a AitM)	$0 (apps gratuitas)	⚠️ Media (requiere ingresar código)	✅ Alta (casi todos los servicios)
Push notifications (Duo, Okta Verify)	⚠️ Media (fatiga de alertas)	$2-$5/mes (suscripción)	✅ Alta (solo tocar "Aprobar")	⚠️ Limitada (requiere app específica)
FIDO2 (YubiKey, Windows Hello)	✅ Alta (resistente a phishing)	$20-$50 (clave física)	✅ Alta (sin códigos manuales)	⚠️ Media (requiere soporte en el servicio)

La elección depende del contexto. Para una PyME con presupuesto ajustado, TOTP es un buen punto de partida, siempre que se combine con capacitación para evitar ataques de phishing. Para empresas con datos sensibles (salud, finanzas), FIDO2 es la opción más segura, aunque requiere una inversión inicial en hardware. Las notificaciones push, por su parte, son convenientes pero pueden generar fatiga de alertas: en 2022, un estudio de Microsoft encontró que el 30% de los usuarios aprueban notificaciones push sin verificar el contexto, lo que las hace vulnerables a ataques de MFA fatigue.

Cómo manejar la resistencia al cambio: el factor humano

El mayor obstáculo para el MFA no es técnico, sino cultural. En un estudio de 2023 con 500 empresas LATAM (EY Cybersecurity Survey), el 68% de los empleados reportó que el MFA "ralentiza su trabajo", y el 42% admitió desactivarlo cuando era posible. La solución no es imponer, sino demostrar valor.

Aquí, tres tácticas que hemos validado en CyberShield:

Enfocarse en el "porqué": En lugar de decir "el MFA es obligatorio", explicar cómo protege su trabajo. Por ejemplo: "Si un atacante accede a tu cuenta, podría borrar el repositorio de código donde trabajaste los últimos tres meses".
Ofrecer opciones: Permitir que los usuarios elijan entre TOTP o FIDO2 (si es viable) reduce la percepción de imposición. En un caso en Chile, una empresa permitió que los empleados usaran sus teléfonos personales para TOTP, pero ofreció claves FIDO2 gratuitas para quienes las prefirieran.
Gamificar el proceso: Algunas empresas han usado sistemas de recompensas (como puntos canjeables por días libres) para quienes adopten el MFA sin incidentes en los primeros 30 días. Esto no es trivial: en una startup en Argentina, el 85% de los empleados activó el MFA en una semana tras implementar este sistema.

Un error común es asumir que la resistencia viene solo de los empleados. Los equipos de TI también pueden ser reacios, especialmente si perciben el MFA como una carga adicional. Aquí, la solución es automatizar la gestión. Herramientas como Keycloak permiten configurar políticas de MFA basadas en grupos de Active Directory, lo que reduce el trabajo manual. Por ejemplo: "Todos los usuarios en el grupo 'Finanzas' deben usar FIDO2; el resto puede usar TOTP".

El problema de los sistemas legacy: cómo evitar que el MFA los rompa

El 35% de las empresas LATAM aún dependen de sistemas legacy que no soportan MFA nativo, según un informe de Cisco Cybersecurity Readiness Index. Esto incluye desde servidores antiguos hasta aplicaciones internas desarrolladas hace una década. La solución no es ignorar estos sistemas, sino envolverlos con capas de autenticación modernas.

Tres enfoques probados:

Proxies de autenticación: Herramientas como Authelia o Gluu actúan como intermediarios entre el usuario y el sistema legacy. El usuario inicia sesión en el proxy con MFA, y este se autentica en el sistema antiguo con credenciales estáticas. Es una solución temporal, pero efectiva para sistemas que no pueden actualizarse.
VPNs con MFA integrado: Para sistemas accesibles solo desde la red interna, una VPN con MFA (como WireGuard + Authelia) puede ser suficiente. El usuario se autentica con MFA para acceder a la VPN, y luego ingresa al sistema legacy sin necesidad de un segundo factor.
Scripts de automatización: En algunos casos, es posible modificar el código de la aplicación legacy para que verifique un token MFA antes de permitir el acceso. Esto requiere acceso al código fuente, pero es viable para empresas con equipos de desarrollo internos.

Un ejemplo concreto: una clínica en Colombia usaba un sistema de gestión de pacientes de 2010 que no soportaba MFA. En lugar de reemplazarlo (costo estimado: $50,000), implementaron Authelia como proxy. Los médicos ahora inician sesión en Authelia con FIDO2, y el proxy se autentica en el sistema antiguo con un usuario genérico. El riesgo de credenciales estáticas se mitiga con políticas de rotación automática cada 30 días.

MFA en la nube vs. on-premise: tradeoffs que nadie te cuenta

La elección entre soluciones cloud (Okta, Duo, Microsoft Entra ID) y on-premise (Keycloak, Authelia) depende de tres factores: soberanía de datos, costo y complejidad.

Las soluciones cloud son más fáciles de implementar, pero tienen desventajas ocultas:

Dependencia de proveedores: Si Okta sufre una brecha (como en 2022, cuando atacantes accedieron a su código fuente), tus usuarios podrían verse afectados.
Costos recurrentes: Duo cobra $3 por usuario/mes, lo que para una empresa de 500 empleados significa $18,000 anuales. En cambio, Keycloak es gratuito, aunque requiere infraestructura propia.
Latencia: En regiones con conectividad limitada (como zonas rurales de LATAM), las soluciones cloud pueden introducir demoras en la autenticación.

Las soluciones on-premise, por su parte, requieren más trabajo inicial pero ofrecen ventajas:

Control total: Los datos de autenticación nunca abandonan tu infraestructura, lo que es crítico para empresas con regulaciones estrictas (como el sector financiero en México o la salud en Brasil).
Personalización: Keycloak permite modificar flujos de autenticación para adaptarlos a procesos internos (por ejemplo, integrar con un sistema de gestión de vacaciones para denegar accesos fuera de horario laboral).
Resiliencia: Si tu conexión a internet cae, los usuarios aún pueden autenticarse localmente.

En CyberShield, operamos ciberseguridad 24/7 para PyMEs LATAM con un stack propio que incluye monitoreo de CVE en tiempo real y respuesta inmediata. Para empresas con menos de 50 empleados, recomendamos empezar con Keycloak on-premise: es gratuito, escalable y evita dependencias externas. Para empresas más grandes, una solución híbrida (Keycloak para sistemas internos y Okta para aplicaciones SaaS) puede ser el equilibrio ideal.

La implementación de MFA no es un proyecto de TI, sino un cambio organizacional. Requiere planificación, comunicación clara y, sobre todo, la voluntad de aceptar que algunos sistemas legacy no sobrevivirán al proceso. Pero los datos son inequívocos: según el Verizon Data Breach Investigations Report 2023, el 86% de las brechas que involucraron credenciales podrían haberse prevenido con MFA. La pregunta no es si implementarlo, sino cómo hacerlo sin que el equipo lo perciba como un obstáculo, sino como una capa más de protección —para ellos y para la empresa.