Contraseñas y MFA: la seguridad básica que pocas pymes aplican

En 2024 la base de datos “RockYou2024” filtró casi 10 mil millones de combinaciones de usuario y contraseña reales. Si tu empresa usa contraseñas que alguna vez se reutilizaron en un servicio comprometido, las credenciales de tu correo, tu ERP o tu cuenta bancaria probablemente ya están disponibles en la dark web. No es alarmismo; hay herramientas gratuitas como Have I Been Pwned que te lo confirman en segundos.

La autenticación multifactor (MFA) no soluciona todos los problemas de seguridad, pero hace que el robo de contraseñas sea prácticamente inútil. Microsoft estima que el 99,9% de los ataques de compromiso de cuentas se detiene con MFA activado. Es la medida de mayor impacto por el menor costo de implementación.

Por qué las contraseñas solas ya no protegen

El problema no es que las contraseñas sean malas por diseño; el problema es cómo las usamos. Tres comportamientos casi universales en pymes hacen que la contraseña sea un mecanismo de protección ilusorio:

• →Reutilización: la misma contraseña en el correo, el ERP, el banco y Netflix. Cuando uno de esos servicios sufre una filtración, todos quedan expuestos simultáneamente. El atacante no necesita adivinar nada; solo prueba las credenciales robadas en otros servicios (credential stuffing).
• →Debilidad predecible: nombres del negocio, fechas de aniversario, variaciones de “Empresa2024!”. Los ataques de diccionario prueban millones de combinaciones por segundo. Una contraseña predecible dura minutos.
• →Compartición insegura: contraseñas enviadas por WhatsApp, anotadas en post-its o en archivos de Excel sin cifrado. En Chile hemos visto casos donde el robo de credenciales no fue tecnológico sino que alguien simplemente encontró el archivo en un computador compartido.

El MFA resuelve el problema de fondo: aunque alguien obtenga tu contraseña, no puede entrar sin el segundo factor. Y ese segundo factor depende de algo que solo tú tienes físicamente.

Cómo funciona el MFA: lo que sabes más lo que tienes

La autenticación multifactor combina dos o más tipos de verificación de categorías diferentes. La lógica es simple: si el atacante roba lo que sabes (la contraseña), aún necesita acceder a lo que tienes (tu teléfono, tu llave física) para completar el acceso.

Existen tres categorías de factores de autenticación: algo que sabes (contraseña, PIN, respuesta a pregunta secreta), algo que tienes (teléfono, token de hardware, tarjeta) y algo que eres (huella dactilar, reconocimiento facial). MFA significa usar al menos dos de estas categorías. La combinación más común y práctica para pymes es contraseña más código generado en el teléfono.

Los 3 tipos de MFA y cuándo usar cada uno

No todos los MFA son iguales en seguridad ni en comodidad. Aquí están las tres opciones principales ordenadas de menor a mayor seguridad:

• →SMS (código por mensaje de texto): es el MFA más extendido y el menos seguro. Los ataques de SIM swapping (clonar tu tarjeta SIM con ingeniería social en la operadora) pueden interceptarlo. Aun así, es radicalmente mejor que no tener MFA. Úsalo si es la única opción disponible en un sistema, pero prioriza las alternativas siguientes.
• →App autenticadora (Google Authenticator, Microsoft Authenticator, Authy): genera códigos de 6 dígitos que cambian cada 30 segundos directamente en tu teléfono, sin conexión a internet. No puede ser interceptado por SMS. Es el equilibrio ideal entre seguridad y facilidad de uso para equipos de trabajo. Recomendado para el correo corporativo, ERP, CRM y sistemas internos de toda la empresa.
• →Llave de hardware (YubiKey, Google Titan Key): un dispositivo físico USB o NFC que debes conectar o acercar al computador para autenticarte. Es prácticamente imposible de comprometer de forma remota. Recomendado para cuentas críticas: correo del dueño, accesos bancarios, sistemas con datos sensibles de clientes, cuentas de administrador de infraestructura.

Cómo implementarlo en los sistemas más comunes

La implementación concreta depende de los sistemas que usa tu empresa. Estos son los casos más frecuentes en pymes chilenas:

• →Google Workspace: desde la consola de administración (admin.google.com) puedes activar MFA como obligatorio para todos los usuarios de tu dominio en menos de diez minutos. Google admite app autenticadora, SMS y llaves de hardware. Es la activación de mayor impacto para empresas que usan Gmail corporativo.
• →Microsoft 365: desde el portal de administración (admin.microsoft.com) en la sección de seguridad puedes activar los valores predeterminados de seguridad, que fuerzan MFA para todos los usuarios. Microsoft Authenticator es la app recomendada y funciona muy bien en equipos mixtos con iOS y Android.
• →Sistemas internos y aplicaciones propias: si tu empresa tiene sistemas desarrollados a medida o ERPs que no traen MFA nativo, la solución es agregar una capa de autenticación externa. Herramientas como Okta, Duo Security o Microsoft Entra ID actúan como intermediarios y añaden MFA a cualquier sistema que use SAML o OAuth.
• →Acceso remoto y VPN: si tu equipo trabaja de forma híbrida o remota, el acceso VPN sin MFA es una puerta trasera abierta. Cualquier solución VPN moderna admite integración con autenticación adicional. Este es el primer lugar donde configurarlo en empresas con teletrabajo.

Cómo convencer a tu equipo de adoptarlo

La resistencia al MFA en equipos de trabajo casi siempre viene de la misma objeción: “es más lento.” Y es verdad que agrega entre 5 y 15 segundos al proceso de inicio de sesión. La respuesta honesta es que esos segundos son el costo de no perder todo en un incidente.

Estrategias que funcionan para la adopción interna en pymes:

• →Empezar con el dueño o gerente: cuando el liderazgo ya usa MFA y lo normaliza, la resistencia del equipo baja significativamente. El ejemplo desde arriba es el cambio cultural más efectivo.
• →Activación asistida: en lugar de enviar un correo con instrucciones, dedicar 15 minutos por persona para la instalación. El mayor obstáculo es el primer contacto con la herramienta, no el uso diario.
• →Contar el caso real: un incidente real del sector, compartido con el equipo de forma concreta, hace más tangible el riesgo que cualquier estadística abstracta. La gente cambia hábitos cuando entiende concretamente qué puede pasar.
• →Configurar “recordar este dispositivo”: la mayoría de los sistemas MFA permite recordar el dispositivo por 30 días. Así el colaborador solo ingresa el código adicional una vez al mes desde su computador habitual, no en cada inicio de sesión.

Cuando el dueño de una empresa de servicios industriales en Santiago con 28 empleados activó MFA obligatorio en su Google Workspace, tres personas del equipo se quejaron la primera semana. A las dos semanas nadie lo mencionaba. El hábito se forma más rápido de lo que se imagina.