Un correo de Microsoft 365 comprometido puede parecer un incidente menor hasta que un atacante usa esa cuenta para pedir pagos urgentes, acceder a facturas o enviar mensajes fraudulentos a clientes. La contraseña por sí sola ya no es una barrera suficiente. Si se pregunta qué es doble autenticación, es una medida sencilla que añade una segunda comprobación antes de permitir el acceso a una cuenta.
Para una pyme, no se trata solo de proteger el email. También protege archivos compartidos, programas de gestión, accesos remotos, copias de seguridad cloud, cuentas bancarias, CRM y paneles de proveedores. Bien aplicada, reduce de forma considerable el riesgo de que una contraseña robada se convierta en una parada de negocio.
Qué es la doble autenticación y cómo funciona
La doble autenticación, también conocida como verificación en dos pasos o 2FA, exige dos pruebas distintas para confirmar la identidad del usuario. La primera suele ser la contraseña. La segunda puede ser un código temporal en una aplicación, una notificación en el teléfono, una llave de seguridad física o una característica biométrica, como la huella dactilar.
La lógica es muy clara: aunque alguien consiga una contraseña mediante un correo falso, una filtración de datos o un equipo infectado, no podrá entrar si no supera ese segundo control. Es como tener una llave para abrir la oficina y, además, una tarjeta de acceso personal para desactivar la alarma.
No debe confundirse con usar dos contraseñas. La protección funciona porque combina elementos diferentes: algo que sabe el usuario, como su contraseña; algo que posee, como su teléfono o llave de seguridad; o algo que es, como su huella. Cuando se usan varios factores de identificación, también se habla de autenticación multifactor o MFA.
Por qué una contraseña ya no protege una empresa
Las contraseñas se reutilizan, se comparten por comodidad o se introducen en páginas falsas que imitan a Microsoft, Google, bancos o empresas de transporte. Además, algunas filtraciones publican credenciales que los delincuentes prueban automáticamente en miles de servicios. Una contraseña compleja ayuda, pero no corrige todos estos riesgos.
En una asesoría, por ejemplo, una sola cuenta de correo comprometida puede dar acceso a documentación fiscal de clientes. En una clínica, puede exponer datos sensibles o permitir que un atacante envíe facturas falsas. En una empresa de logística, una cuenta de administración puede abrir la puerta a información de pedidos, proveedores y rutas.
La doble autenticación no elimina todos los incidentes, pero corta muchos ataques oportunistas antes de que afecten al negocio. También aporta visibilidad: si un empleado recibe una solicitud de acceso que no ha iniciado, hay una señal inmediata de que su contraseña puede estar en manos de otra persona.
Los métodos más habituales y cuál conviene elegir
No todas las opciones ofrecen el mismo nivel de seguridad ni resultan igual de cómodas para cada puesto. La elección debe tener en cuenta el tipo de cuenta, la movilidad del equipo y el impacto de un acceso indebido.
Los códigos por SMS son fáciles de implantar y mejor que no usar ningún segundo factor. Sin embargo, no son la opción más recomendable para cuentas críticas. El número puede ser objeto de duplicación fraudulenta de tarjeta SIM y los mensajes pueden llegar con retraso cuando hay poca cobertura.
Las aplicaciones de autenticación generan códigos temporales o muestran un aviso para aprobar o rechazar el inicio de sesión. Suelen ser una alternativa más segura y práctica para la mayoría de empleados. Funcionan incluso sin cobertura móvil si generan códigos en el propio dispositivo.
Las llaves físicas de seguridad son especialmente adecuadas para gerencia, administración, departamentos financieros y cuentas con permisos elevados. Requieren conectarse al equipo o acercarse al móvil, y reducen mucho el riesgo de caer en webs falsas porque validan el sitio legítimo antes de autorizar el acceso.
Las notificaciones de aprobación en el teléfono son cómodas, pero necesitan una configuración correcta. Nunca se debe aprobar una solicitud que no se haya provocado personalmente. Los atacantes a veces envían muchas alertas seguidas esperando que alguien pulse “aceptar” por cansancio o confusión. Esta técnica se conoce como fatiga de MFA.
Dónde debe activarse primero en una pyme
Activar la protección de forma indiscriminada y sin planificación puede generar bloqueos, llamadas urgentes y pérdida de productividad. El enfoque eficaz es empezar por los accesos que concentran más información, dinero o permisos.
La prioridad suele ser el correo corporativo de Microsoft 365 o Google Workspace, sobre todo las cuentas de dirección, administración, facturación y soporte. Después conviene proteger los usuarios administradores, el acceso remoto a servidores, el firewall, el NAS, las copias de seguridad, el ERP, el CRM y las plataformas bancarias o de pago.
También hay que revisar las cuentas compartidas. Una cuenta genérica como “administracion@” dificulta saber quién accedió y complica la doble autenticación. Siempre que sea posible, cada persona debe trabajar con su propio usuario y tener solo los permisos necesarios para su función.
En comercios, clínicas o talleres con rotación de personal, es fundamental desactivar de inmediato las cuentas de empleados que dejan la empresa. La doble autenticación protege el acceso, pero no sustituye una buena gestión de altas, bajas y permisos.
Errores que pueden dejar la protección incompleta
El error más habitual es activar 2FA y pensar que el trabajo ha terminado. La seguridad depende tanto de la herramienta como de su configuración y del comportamiento de las personas.
No guarde los códigos de recuperación únicamente en el móvil que se usa para autenticar. Si ese teléfono se pierde, se rompe o es robado, la empresa puede quedarse fuera de cuentas críticas. Los códigos de emergencia deben custodiarse en un lugar seguro y accesible para una persona autorizada, siguiendo un procedimiento definido.
Tampoco es aconsejable que un único gerente sea el único administrador de Microsoft 365, Google Workspace o del sistema de copias. Debe existir una cuenta administrativa de emergencia, protegida con un método fuerte y controlada por la empresa, no por una persona concreta.
Otro fallo frecuente es permitir excepciones permanentes. Algunos sistemas ofrecen la opción de no volver a pedir verificación en un dispositivo. Puede ser razonable en un equipo corporativo, cifrado y bien gestionado, pero no en ordenadores compartidos, equipos domésticos sin control o dispositivos públicos.
Por último, hay que formar al personal con instrucciones muy concretas: no aprobar accesos inesperados, no entregar códigos por teléfono, no instalar aplicaciones a petición de un supuesto técnico y verificar cualquier cambio de cuenta bancaria por un canal independiente. Ningún soporte serio debe pedir un código temporal para “comprobar” una cuenta.
Doble autenticación y continuidad de negocio
La doble autenticación no reemplaza al antivirus corporativo, al firewall, a las copias verificadas ni a la monitorización de sistemas. Forma parte de una estrategia más amplia. Si un atacante consigue engañar a un usuario, una configuración adecuada puede impedir que avance; si se produce un incidente, las copias y el plan de recuperación ayudan a volver a operar.
También conviene tener presente que hay ataques que intentan robar la sesión ya iniciada en el navegador. Por eso, además de 2FA, se necesitan equipos actualizados, protección del correo, control de accesos y revisión de inicios de sesión sospechosos. La seguridad eficaz se construye por capas, sin confiar todo a una única medida.
En RSI – Recursos y Soluciones Informáticas, la implantación se plantea con criterios de negocio: qué cuentas son críticas, quién necesita acceso, cómo evitar bloqueos y qué hacer si se pierde un dispositivo. El objetivo no es añadir obstáculos al equipo, sino proteger los sistemas sin frenar el trabajo diario.
Si su empresa aún depende solo de contraseñas, el primer paso útil es identificar las cinco cuentas cuya pérdida tendría mayor impacto y activar en ellas un segundo factor seguro. Esa decisión puede evitar que un simple correo fraudulento se convierta en una incidencia costosa.
