MFA Adaptativo 2026: Cómo la autenticación basada en riesgo reemplaza al MFA estándar

El 79 por ciento de las víctimas de Business Email Compromise (BEC) tenían MFA correctamente implementado – y fueron hackeadas a pesar de ello. El motivo: La MFA estándar es una barrera única que pierde su validez después de la robo de tokens. La MFA adaptable evalúa cada intento de inicio de sesión en tiempo real y ajusta la nivel de seguridad al riesgo actual. NIS2 exige exactamente esto: «soluciones de autenticación continua». ¿Qué está detrás de esto y cómo los principales proveedores lo implementan?

¿Qué hace que Adaptive MFA sea diferente a Standard-MFA?

Standard-MFA solicita el mismo segundo factor en cada inicio de sesión, independientemente de si el usuario accede desde su ordenador de escritorio habitual o desde una IP desconocida en otro país. Adaptive MFA, por otro lado, evalúa cada intento de autenticación en tiempo real basándose en señales contextuales y ajusta dinámicamente la nivel de seguridad.

Las señales que el sistema analiza incluyen el tipo y el estado del dispositivo, el lugar y la reputación de la IP, la hora del día, el comportamiento del usuario y el contexto de la red. A partir de estas señales, un modelo de aprendizaje automático calcula un puntaje de riesgo que desencadena tres niveles de respuesta:

El diferencial clave: Standard-MFA es una barrera única. Una vez superada (por ejemplo, mediante el robo de un token AiTM), el atacante tendrá acceso libre hasta el tiempo de expiración de la sesión. Adaptive MFA con Evaluación Continua de Acceso puede revocar tokens en tiempo real si el perfil de riesgo cambia.

Microsoft Entra Conditional Access: El estándar del mercado

La Conditional Access de Microsoft es la implementación de Adaptive-MFA más extendida en el segmento empresarial. La Engine de Política de Entra ID (anteriormente Azure AD) procesa, según Microsoft, más de 40 TB de señales de identidad por día.

El sistema calcula dos puntajes de riesgo separados: el User Risk (la probabilidad de que la cuenta esté comprometida) y el Sign-in Risk (la probabilidad de que un inicio de sesión no esté autorizado). Ambos puntajes influyen en la decisión de acceso.

Configuraciones de política típicas en la práctica:

• Riesgo de inicio de sesión «Medio» o «Alto»: Exigir MFA, incluso si el dispositivo es conocido
• Dispositivo no conforme: Bloquear el acceso completamente, independientemente del riesgo del usuario
• Ubicación de confianza + Dispositivo administrado: No requerir MFA – la combinación de red y estado del dispositivo es suficiente como ancla de confianza

Okta, Auth0 y Cisco Duo: Las alternativas

Okta Adaptive MFA (desde 6 USD por usuario/mes) analiza dispositivos, redes, ubicación y comportamiento del usuario. La propia ThreatInsight-Engine valora datos de millones de autenticaciones para detectar patrones de ataque. Desde el cuarto trimestre de 2024, Identity Secure Posture Management está disponible, que puede forzar automáticamente MFA para roles críticos.

Auth0 (desde 2021 parte de Okta, para escenarios de identidad de clientes) trabaja con tres señales de riesgo definidas: NewDevice (inicio de sesión desde un dispositivo desconocido en los últimos 30 días), ImpossibleTravel (patrones de inicio de sesión geográficamente improbables) y UntrustedIP (IP sospechosa de la base de datos de inteligencia de amenazas). Solo disponible en el plan Enterprise.

Cisco Duo (en Duo Premier y Advantage) ofrece Risk-Based Factor Selection y Risk-Based Remembered Devices. Característica única: Wi-Fi Fingerprinting a través de la aplicación de escritorio Duo como un indicador de ubicación adicional. Duo también puede detectar Push Harassment y Push Spray Attacks como señales de riesgo independientes.

«En 65 casos de BEC investigados, el 79% de las víctimas tenían MFA correctamente implementado – y fueron comprometidas aun así, ya que los tokens de sesión fueron robados.»
– FRSecure Incident Response Report, 2025

NIS2 exige «autenticación continua» – lo que esto significa en la práctica

Artículo 21(2)(j) de NIS2 menciona literalmente: «el uso de soluciones de autenticación multifactor o autenticación continua». Esto es más allá de una recomendación. Para los aproximadamente 29.500 empresas afectadas en Alemania, significa que MFA estándar cumple con los requisitos mínimos, pero Adaptive MFA con Evaluación Continua aborda el espíritu del código.

La ENISA (agencia europea de ciberseguridad) especifica: MFA es obligatoria para cuentas privilegiadas, administración de sistemas y acceso a sistemas de red e información. La responsabilidad personal de la dirección ejecutiva hace que el tema sea una prioridad de alto nivel.

¿Por qué MFA estándar falla en ataques de Adversary-in-the-Middle (AiTM)?

Ataques de Adversary-in-the-Middle (AiTM) activan un proxy entre el usuario y la página de inicio de sesión. El usuario se autentica correctamente, incluyendo MFA. El proxy captura el token de sesión resultante. Desde este punto, el atacante tiene una sesión válida y autenticada.

Microsoft reportó 147,000 ataques de reutilización de tokens en un año – un aumento del 111%. El problema: MFA estándar es una barrera única. Después de la autenticación exitosa, no hay ningún chequeo adicional hasta el tiempo de expiración de la sesión.

Adaptive MFA con Evaluación Continua (CAE) rompe este patrón. El sistema evalúa continuamente si la sesión sigue los parámetros de riesgo originales. Si el lugar, el dispositivo o el comportamiento cambian, la sesión se invalida inmediatamente, no después de horas o días.

MFA resistente a phishing (FIDO2/Passkeys) va un paso más allá: Las credenciales están vinculadas a la dominación. Un proxy no puede reenviarlas, ya que el handshake criptográfico solo funciona con la dominación real. Los ataques de AiTM se vuelven estructuralmente imposibles.

Comparación de proveedores: Lo que las grandes plataformas pueden hacer

Lista de verificación práctica: Introducción a MFA adaptable

1. Inventario: ¿Qué sistemas utilizan hoy qué autenticación? ¿Qué cuentas con privilegios solo tienen contraseña + SMS-OTP?
2. Definición de políticas basadas en riesgos: ¿Para qué aplicaciones y grupos de usuarios debe activarse la autenticación de paso adicional? Mínimo: accesos de administrador, consolas en la nube, VPN.
3. Activación de factores resistentes a phishing: FIDO2-Security-Keys o Passkeys como factor primario para cuentas con privilegios. No solo como opción, sino como obligación.
4. Activación de evaluación continua de acceso: En Entra ID: habilitar CAE en las políticas de acceso condicional. En otros: reducir el tiempo de vida del token al mínimo.
5. Configuración de viajes imposibles: Cada plataforma tiene umbrales para inicios de sesión geográficamente imposibles. Activar y ajustar a patrones de viaje realistas.
6. Instalación de monitoreo: Inicios de sesión basados en riesgos en SIEM. No solo registrar patrones sospechosos, sino alertar – la lección de la SIT se aplica aquí también.

Conclusión: MFA estándar es necesario, pero no suficiente

MFA sigue siendo la medida más importante contra los ataques de identidad – Microsoft cita una efectividad del 99% o más contra los ataques basados en contraseñas. Pero MFA estándar sin evaluación de riesgos es vulnerable a los robos de tokens y a los ataques de AI-Assisted Phishing (AiTM). MFA adaptable cierra esta brecha con evaluación de riesgos continua y niveles de seguridad dinámicos.

NIS2 hace que la dirección sea obligatoria: «soluciones de autenticación continua» está en el texto del código. Quien trabaja con MFA estático hoy cumple con la mínima exigencia, pero no con la intención de la regulación. Primer paso: habilitar políticas de acceso condicional o similares para los 10% de las cuentas más privilegiadas. Esto lleva un mediodía de configuración y aborda el 80% del riesgo.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.