Por qué el SMS y la AMF de voz hacen vulnerable a tu organización

Por qué es importante el AMF

MFA añade una capa extra a tu proceso de inicio de sesión. Además del nombre de usuario y la contraseña, necesitas autenticar algo más: un código, una llave física o datos biométricos. Pero no todas las formas de MFA son seguras.

En Microsoft Entra ID, los métodos como SMS, voz o correo electrónico están activados por defecto. Parecen cómodos, pero son vulnerables a ataques selectivos. Y una vez que un atacante está dentro, puede registrar el acceso como “legítimo”, y pasar desapercibido durante meses.

 

¿Qué hace que los SMS, la voz y el correo electrónico sean inseguros?

Los atacantes suelen utilizar esta secuencia:

1. Reconocimiento
   Averiguan si tu organización utiliza métodos MFA débiles, mediante ingeniería social o escaneado.

2. Obtención de acceso
   Utilizando phishing, password spraying o credential stuffing, recopilan credenciales de acceso.

3. Eludir el segundo factor

   • SMS: mediante SIM-swapping, vulnerabilidades SS7 o malware

   • Voz: mediante vishing o desvío de llamadas

   • Correo electrónico: mediante phishing o acceso al buzón

4. Construir la persistencia
   Registran su propio método AMF para mantener el acceso.

5. Movimiento lateral y escalada
   Utilizan el acceso para penetrar en otras cuentas o sistemas.

6. Hacer daño
   Piensa en la exfiltración de datos, la escalada de privilegios y la interrupción de servicios, todo ello sin que salten las alarmas porque todo parece “legítimo” en los registros.

 

¿Cuáles son las mejores alternativas?

Entre los métodos fuertes de AMF se incluyen:

• Aplicaciones de autenticación (por ejemplo, Microsoft o Google Authenticator)

• Claves de seguridad FIDO2 (como YubiKey)

• Autenticación biométrica (huella dactilar, reconocimiento facial)

Estos métodos son más resistentes al phishing y no se pueden interceptar ni imitar fácilmente.

 

¿Qué puedes hacer en Microsoft Entra?

1. Desactiva los métodos débiles en tu política de autenticación

2. Migrar a métodos sólidos mediante un enfoque gradual

3. Forma a tus usuarios en prácticas de inicio de sesión seguro

4. Controla activamente los comportamientos anómalos de inicio de sesión

 

Errores comunes

• Pensar que “AMF = seguro” independientemente del método

• No tener visibilidad sobre qué métodos están activados

• Dejar que los usuarios elijan la conveniencia, sin política

• No realices el registro ni la revisión de los inicios de sesión

 

Conclusión

Una AMF débil no es una AMF. Es falsa seguridad. Y es explotada activamente por los ciberdelincuentes.

La autenticación fuerte es la norma para la Confianza Cero en 2025. Y la base para cualquier organización que se tome en serio la protección de sus personas y datos.

Es hora de comprobar la realidad: ¿qué métodos MFA siguen activos en tu centro?