Lo que aprenderás
Objetivos de aprendizaje
- Distinguir factores independientes de dos contraseñas
- Reconocer las solicitudes de autenticación inesperadas
- Preparar un método de recuperación seguro
Usa factores independientes
Una contraseña y un PIN son ambos factores de conocimiento. La MFA combina distintos tipos de prueba, como una contraseña con un dispositivo registrado. Algunos productos usan la biometría para desbloquear una credencial guardada en el dispositivo; la implementación importa más que contar dos pantallas visibles.
Prefiere métodos resistentes al phishing
Los códigos de un autenticador mejoran muchos inicios de sesión que solo usan contraseña, pero un atacante todavía puede engañar al usuario para que introduzca un código en un sitio falso. Las passkeys y las llaves de seguridad pueden vincular la autenticación al servicio legítimo. Usa los métodos compatibles adecuados para tu organización y entiende qué vías de recuperación más débiles siguen disponibles.
Trata las solicitudes inesperadas como evidencias
No apruebes una notificación push que no hayas iniciado tú. Las solicitudes repetidas no son motivo para aceptar una. Informa de la hora y la cuenta implicadas y revisa después la cuenta a través de una dirección conocida. Guarda los códigos de recuperación en un lugar seguro y separado del dispositivo que podrías perder.
Ejemplo aplicado
Ponlo en contexto
Un trabajador recibe solicitudes de inicio de sesión repetidas mientras está lejos de su portátil. Las deniega y las notifica. Aprobar una para que cesen las notificaciones podría autorizar la sesión de otra persona.
Escenario ilustrativo con fines de aprendizaje, no una afirmación sobre un incidente verificado de un cliente.Errores frecuentes
- Contar contraseña más PIN como factores independientes
- Compartir códigos de un solo uso con el «soporte»
- Ignorar los ajustes de recuperación
Tu lista de verificación práctica
Las marcas de la lista de verificación son temporales y no se registran como progreso de la cuenta.
Resumen breve
La MFA es más sólida cuando el método resiste el phishing y los usuarios entienden el proceso de recuperación y aprobación.