“MFA habilitado” es una de las frases más comunes en los programas de seguridad. También es una de las más engañosas. No todo MFA es resistente al phishing. De hecho, muchos despliegues habituales de MFA siguen fallando frente a flujos modernos de los atacantes, incluido
La mayoría de hojas de ruta de autenticación empresarial se centran en el inicio de sesión. Comparan métodos de MFA, despliegan passkeys, añaden acceso condicional y endurecen políticas. Luego ocurre algo predecible: se pierden dispositivos, los usuarios cambian de rol, los contratistas entran y salen,
El MFA por push se popularizó porque es simple: los usuarios tocan “Aprobar” y siguen. Esa simplicidad también es su debilidad. Los prompts push convierten la autenticación en una decisión humana bajo interrupción y presión, algo que los atacantes pueden manipular a escala. Los ataques
Las apps de autenticación son una opción popular de MFA porque parecen una mejora limpia frente a contraseñas y códigos por SMS. Son baratas, fáciles de desplegar y familiares para los usuarios. Sin embargo, en muchos entornos corporativos, estas apps introducen un riesgo poco valorado:
La autenticación empresarial ha cambiado más rápido que la mayoría de las políticas. Durante años, “seguridad fuerte” significaba una contraseña más algo adicional: un código SMS, una app autenticadora o una notificación push. Esa línea base ayudó, pero los atacantes se adaptaron. El phishing en
La mayoría de los programas de autenticación se diseñan para el “camino feliz”: un usuario normal, un dispositivo normal y un día normal. Las empresas reales funcionan con días anormales. Se pierden dispositivos. Los usuarios cambian de rol. Los contratistas entran y salen. Fallan las
El phishing y el robo de credenciales no son «problemas de contraseñas». Son problemas de flujo de trabajo. Los atacantes tienen éxito porque los flujos de autenticación siguen dependiendo de secretos reutilizables, de la confusión humana y de rutas de recuperación que se pueden manipular.
La autenticación passwordless a menudo se vende como un reemplazo limpio: eliminar contraseñas, añadir passkeys o llaves de seguridad y listo. En la realidad empresarial, la mayoría de los fallos ocurren en otra parte: en el registro, las excepciones de política, los flujos con dispositivos
La autenticación passwordless suele presentarse como una mejora inevitable: eliminar contraseñas, reducir el phishing, mejorar la experiencia de usuario y bajar costes de soporte. Esos resultados son reales. Pero passwordless no es un simple cambio de producto. Es un programa que afecta al registro, los
Autenticación passwordless para cuentas privilegiadas y de administración: reducir el radio de impacto Las cuentas privilegiadas y de administración son las llaves del reino. Cuando caen, el radio de impacto no es un buzón de correo o una cuenta SaaS. Es acceso a producción, herramientas
