Factores de autenticación: las cinco categorías

Una contraseña, dos resultados

Un domingo por la mañana, David recibe dos correos con un minuto de diferencia. El primero es de su plataforma de streaming: “Se ha cambiado tu contraseña”. El segundo es de su banco: “Hemos bloqueado un intento de inicio de sesión desde un dispositivo nuevo”. Alguien había encontrado la contraseña que David usó hace años en un foro antiguo, la que se filtró en una brecha, y la había probado en todas partes. La plataforma de streaming solo pedía la contraseña, así que el atacante entró y la cambió. El banco pidió la passkey del móvil de David, que el atacante no tenía, y el intento no llegó a ningún sitio.

La misma contraseña, el mismo atacante, la misma mañana. La diferencia fueron los factores, lo que cada servicio le pidió a David para demostrar que era él. Los factores van desde una contraseña memorizada hasta una clave criptográfica sellada dentro de un hardware seguro, y cada uno tiene sus puntos fuertes, sus debilidades, sus costes y los casos en los que encaja. Si lo único que conoces es “contraseña más código por SMS”, te estás perdiendo casi todo lo que cambió entre 2010 y 2026: passkeys, biometría con detección de vida, señales de contexto y de comportamiento.

En el artículo anterior situamos la autenticación entre la identificación y la autorización. Aquí la abrimos: las cinco categorías de factores, sus formas habituales con sus pros y contras, los términos SFA, 2FA y MFA que mucha gente usa a la ligera, la autenticación escalonada y la autenticación adaptativa basada en riesgo. Al terminar deberías poder mirar cualquier diseño de inicio de sesión y decir si es sólido o teatro de seguridad, y seguramente querrás pasar un par de tus propias cuentas a passkeys.

Las cinco categorías

El sector habla tradicionalmente de tres categorías clásicas, algo que sabes, algo que tienes y algo que eres, más dos que han ganado peso en la última década, algo que haces y el contexto. Las trataremos como cinco porque así funcionan las cosas hoy.

Los factores de conocimiento son los más comunes y los más débiles. Los de posesión son sólidos si están bien implementados. Los biométricos son fuertes con detección de vida, pero no se pueden revocar si se filtran. Los de comportamiento trabajan en silencio y sirven de apoyo más que como factor por sí solos. Y el contexto no demuestra nada por sí mismo; sube o baja cuánta prueba pide el sistema. Una autenticación fuerte combina factores de categorías distintas, y por eso una contraseña más un PIN no es MFA de verdad.

Algo que sabes

Contraseñas

La contraseña sigue siendo el factor más usado del mundo, y el más débil. La gente reutiliza contraseñas, las apunta, elige algunas previsibles y las olvida, como demuestra la vieja contraseña del foro de David. Décadas de investigación muestran que casi todas las propiedades deseables de una contraseña chocan con la usabilidad. Lo bastante compleja para ser segura significa difícil de recordar; fácil de recordar significa fácil de atacar.

La buena práctica actual, basada en NIST SP 800-63B, prefiere la longitud a la complejidad: doce caracteres o más aportan más que reglas como “una mayúscula, un número, un símbolo”. Comprueba las contraseñas nuevas contra listas de contraseñas filtradas y rechaza las conocidas; Have I Been Pwned ofrece una API gratuita para ello. No obligues a cambiarlas cada cierto tiempo sin motivo, porque un cambio cada 90 días solo produce Pasaporte01!, Pasaporte02! y así sucesivamente. Y guárdalas siempre con un algoritmo de hash fuerte y con sal, como bcrypt, Argon2 o scrypt, nunca con MD5 o SHA-256 a secas. Un hash sin sal es indefendible.

PIN

El PIN es un tipo especial de contraseña, normalmente corta y numérica, de cuatro a seis dígitos. Con solo entre diez mil y un millón de combinaciones parece débil, pero es aceptable cuando se combina con otro factor en lugar de usarse solo, cuando los intentos están muy limitados antes de un bloqueo y cuando está atado a un dispositivo. El PIN de tu móvil solo funciona en ese móvil, y eso cambia por completo la situación.

Preguntas de seguridad

“¿Cómo se llamaba tu primera mascota?” “¿En qué calle te criaste?” Estas preguntas se pusieron de moda en los 2000 y hoy son una de las prácticas más criticadas en seguridad. Las respuestas suelen estar en las redes sociales, un atacante las encuentra con facilidad y las conocen la familia y los amigos. Si en 2026 todavía ves preguntas de seguridad en un sistema, estás ante un programa de IAM con dos décadas de retraso.

Las contraseñas no van a desaparecer mañana, pero la dirección está clara: sin contraseña (passwordless). Apple, Google y Microsoft empujan las passkeys como sustituto masivo. Un sistema nuevo diseñado en 2026 no debería nacer con la contraseña como factor principal. Debería nacer con passkey y dejar la contraseña como alternativa, no al revés.

Algo que tienes

TOTP y HOTP

TOTP (Time-based One-Time Password, RFC 6238) y HOTP (basado en HMAC, RFC 4226) son los algoritmos detrás de apps como Google Authenticator, Microsoft Authenticator o Authy. Al configurarlo escaneas un código QR, y el servidor y tu dispositivo acaban compartiendo una semilla secreta. A partir de ahí, los dos derivan un código de seis dígitos a partir de esa semilla y de la hora actual (TOTP) o de un contador (HOTP). Tú escribes el código y el servidor lo calcula por su lado y lo compara. Funciona sin conexión, no necesita SMS, es gratis y está estandarizado. A cambio, tienes que copiar seis dígitos en treinta segundos, y una página de phishing en tiempo real puede pedirte el código y usarlo al instante.

Códigos por SMS

Un código por mensaje de texto es cómodo y está muy extendido, y técnicamente es débil. En un SIM swapping, el atacante convence a la operadora de que pase tu número a su tarjeta SIM, y eso lleva minutos. Las debilidades del protocolo SS7 permiten interceptar mensajes. Y el phishing en tiempo real captura el código y lo reutiliza en segundos. NIST SP 800-63B desaconseja los códigos por SMS para AAL2 desde 2017. Si todavía los usas, da por hecho que son el eslabón más débil de tu cadena.

Los códigos por correo electrónico funcionan igual, y son tan seguros como la cuenta de correo. Si esa cuenta solo está protegida con una contraseña, el “código por email” es en realidad un único factor disfrazado.

Notificaciones push

Con push, el usuario recibe una notificación en una app como Microsoft Authenticator, Duo u Okta Verify y aprueba con un toque. Es más cómodo que TOTP y trajo consigo un riesgo nuevo: el bombardeo de MFA o fatiga de push. Un atacante que ya tiene la contraseña lanza una notificación tras otra hasta que la víctima, harta o medio dormida, aprueba una. Así entraron en Uber en 2022. Las plataformas modernas lo frenan con la coincidencia de números (number matching): en lugar de un simple aprobar o rechazar, la notificación muestra un número que el usuario tiene que escribir en la pantalla donde está iniciando sesión, lo que impide aprobar por reflejo.

Llaves de hardware

Una llave de hardware como una YubiKey o una Google Titan implementa FIDO2 y WebAuthn. Genera un par de claves cuya clave privada nunca sale del dispositivo, y la clave pública se registra en el servicio. Para autenticarte, el servidor envía un desafío, la llave lo firma y el servidor comprueba la firma con la clave pública. La firma incluye el origen de la web, así que si alguien te lleva a una web falsa la firma no vale allí. No hay secreto compartido, de modo que una brecha en el servidor no expone tu credencial, y un atacante situado en medio no obtiene nada útil. Las pegas son el coste, entre 25 y 50 dólares por llave, la necesidad de otro factor para recuperarte si la pierdes y algo más de fricción que una notificación push.

Las tarjetas inteligentes y los certificados X.509 funcionan con el mismo principio en otro formato: una tarjeta con un chip que guarda una clave privada. Son habituales en la administración, como el DNI electrónico en España o la CAC del ejército estadounidense, y en empresas con requisitos de cumplimiento exigentes.

Passkeys

Una passkey es la versión sincronizada de WebAuthn. La clave privada vive en el llavero del sistema operativo, como iCloud Keychain, el Gestor de contraseñas de Google o Windows Hello, y se sincroniza entre los dispositivos de la misma persona. Junta lo mejor de varios mundos: resiste el phishing como una llave de hardware, elimina la contraseña por completo, se desbloquea con la cara o la huella en lugar de escribir una cadena y funciona igual en el móvil que en el portátil. Apple, Google y Microsoft impulsaron las passkeys con fuerza entre 2022 y 2024, y hoy son con diferencia el mejor factor de posesión para el usuario de a pie. Es lo que salvó la cuenta bancaria de David.

Algo que eres

La huella es la biometría más madura y barata: Touch ID en los iPhone, lectores en los portátiles corporativos. La huella se guarda como una plantilla matemática, no como una imagen, y en los dispositivos modernos vive dentro del enclave seguro del chip, fuera del alcance incluso del sistema operativo. Las manos mojadas o sucias provocan fallos, algunas personas tienen huellas que se leen mal por el trabajo manual o la edad, y una huella copiada en un molde de silicona puede engañar a los lectores baratos.

El reconocimiento facial, como Face ID o Windows Hello, mide la forma tridimensional de la cara. Aquí se mezclan dos cosas muy distintas. El reconocimiento 2D sencillo, el de una webcam barata, se engaña con fotos impresas y vídeos. El reconocimiento 3D con detección de vida mide la profundidad con infrarrojos y observa micromovimientos, y es mucho más difícil de engañar.

Otras biometrías tienen su nicho. El iris es muy preciso y se usa en aeropuertos, pero necesita hardware especial. La voz (“di tu frase de paso”) se ha vuelto vulnerable a los deepfakes y las grabaciones; desde 2024 hay fraudes bancarios documentados con voces clonadas por IA. El reconocimiento de venas de la palma se usa en Japón y es muy exacto, con hardware caro. La firma dinámica es rara fuera de algunos bancos asiáticos.

Al comparar sistemas biométricos importan unas cuantas medidas.

La biometría tiene una propiedad que la distingue: no se puede revocar. Si se filtra tu contraseña, la cambias. Si se filtra tu huella, sigue siendo tu huella el resto de tu vida. Por eso una buena implementación nunca guarda imágenes de huellas o caras, solo plantillas derivadas que idealmente no permiten reconstruir el original. Y no las guarda en una base de datos central que pueda sufrir una brecha; las guarda en hardware seguro del propio dispositivo del usuario. Una brecha de plantillas biométricas centralizadas es prácticamente imposible de reparar y afecta a las personas implicadas para siempre, y por eso sistemas de pago como Apple Pay o Google Pay lo mantienen todo en el enclave seguro del dispositivo. La regulación lo refleja: la BIPA de Illinois exige aviso y consentimiento explícito, el artículo 9 del RGPD trata los datos biométricos como una categoría especial muy protegida y la LFPDPPP mexicana los incluye entre los datos sensibles.

Algo que haces

Es la categoría más reciente, y todavía se trata como factor de apoyo y no como uno que se sostenga solo. Mide patrones en tu forma de comportarte: tu ritmo, tus pausas y tus erratas habituales al teclear; cómo mueves el ratón y dónde haces clic; la presión, la velocidad y el ángulo de tus deslizamientos en una pantalla táctil; qué pantallas visitas en una app, en qué orden y a qué hora. Funciona en silencio, sin pedirle nada al usuario, y aprende un perfil personal a lo largo de semanas o meses. Eso lo hace útil contra el robo de cuentas, porque detecta cuando alguien que teclea distinto está dentro de la cuenta. Proveedores como BioCatch, NuData (Mastercard) o TypingDNA lo venden mucho a los bancos, que lo aprecian justo porque no añade fricción.

El contexto

En sentido estricto, el contexto no es algo que el usuario presente como prueba. Es lo que el sistema observa sobre las circunstancias de la petición, y cumple el mismo papel: subir o bajar la confianza. Un inicio de sesión desde un país desde el que nunca has entrado es más arriesgado. También lo es uno a las tres de la mañana si nunca trabajas a esa hora. La huella del dispositivo, una combinación de modelo, sistema operativo, fuentes, complementos y tamaño de pantalla, indica si es un dispositivo que ya has usado. Una dirección IP de una VPN o de la red Tor sube el riesgo. Y el “viaje imposible”, un inicio de sesión desde Madrid a las 14:00 y otro desde Tokio a las 14:05, es una señal fuerte por sí sola.

El contexto rara vez se usa como factor único. Su valor está en ajustar la decisión: entrar desde casa con tu portátil de siempre debería ser fácil, y entrar desde un país nuevo con un dispositivo nuevo debería exigir más.

SFA, 2FA, MFA

Estos términos se usan a la ligera, así que conviene fijarlos. La autenticación de un factor (SFA) usa un solo factor, normalmente una contraseña. Es el modelo más débil y no tiene cabida en una aplicación moderna seria, aunque todavía aparece en apps internas antiguas y en sistemas poco sensibles. La autenticación de dos factores (2FA) usa exactamente dos factores de categorías distintas: una contraseña y un código de una app, una contraseña y una huella, una llave de hardware y un PIN. Una contraseña más un PIN, dos huellas o una contraseña más preguntas de seguridad no son 2FA, porque cada pareja sale de la misma categoría. La autenticación multifactor (MFA) usa dos o más factores de categorías distintas, así que el 2FA es un caso particular del MFA. En la práctica la diferencia es de palabras: 2FA son exactamente dos, MFA son dos o más.

Autenticación escalonada

La autenticación escalonada (step-up) consiste en pedir un factor adicional a mitad de sesión, cuando el usuario está a punto de hacer algo más delicado de lo que justificaba su inicio de sesión. Entras a consultar tu saldo con contraseña y notificación push; para enviar una transferencia de más de 1.000 dólares, la app te pide además el PIN; para cambiar el correo asociado a la cuenta, te pide una comprobación biométrica. Es la forma práctica de “a más riesgo, autenticación más fuerte”. Pedir todos los factores todo el tiempo arruina la experiencia, pero pedirlos en el momento en que importa tiene todo el sentido.

Cuando diseñes una app, pregúntate qué acciones son irreversibles o de alto valor. Esas merecen autenticación escalonada. Un inicio de sesión normal tiene una experiencia fluida; una acción crítica pide un factor más. Es la regla del 80/20 aplicada a la fricción de seguridad.

Autenticación adaptativa basada en riesgo

La autenticación basada en riesgo (RBA) es el paso natural después del step-up. En lugar de reglas fijas como “las transferencias de más de 1.000 dólares piden PIN”, el sistema calcula una puntuación de riesgo en tiempo real y decide por su cuenta cuánta fricción añadir.

flowchart TB
  accTitle: Flujo de decisión de la autenticación adaptativa basada en riesgo
  accDescr: Diagrama de arriba abajo que parte de una petición de inicio de sesión, reúne señales de contexto, comportamiento y del factor inicial, alimenta un motor de riesgo que calcula una puntuación de 0 a 100 y se divide en cuatro resultados según la puntuación: bajo permite el acceso sin fricción, medio pide un segundo factor, alto pide MFA más un paso adicional y avisa al SOC, y crítico bloquea y exige un restablecimiento manual.
  REQ[Petición de inicio de sesión] --> COLLECT[Reúne señales]
  COLLECT --> SCORE[El motor de riesgo calcula 0-100]
  SCORE --> DEC{Nivel de riesgo}
  DEC -->|Bajo| OK[Acceso sin fricción]
  DEC -->|Medio| MFA[Pide un segundo factor]
  DEC -->|Alto| STEP[MFA + step-up, avisa al SOC]
  DEC -->|Crítico| BLOCK[Bloquea, exige restablecimiento manual]

La puntuación se alimenta de muchas señales. Algunas son de la identidad: ¿la cuenta es nueva, qué antigüedad tiene, su historial está limpio? Otras son de contexto: dirección IP, ubicación, dispositivo, hora, proveedor de red. Otras son de comportamiento: tecleo, movimiento, navegación, ritmo. Otras son anomalías: ¿es la primera vez desde este país, el viaje desde el último inicio de sesión es imposible? Otras vienen de inteligencia externa: ¿la IP está en una lista de bloqueo, el dispositivo consta como comprometido? Y otras vienen de lo que pasa en otras partes: ¿hay ahora mismo una oleada de credential stuffing contra otras cuentas, como la que le tocó a David?

Así funciona con Sara. Abre la app de su banco un viernes a las 20:00 desde su móvil de siempre, en su barrio de siempre, con su forma de teclear de siempre. El riesgo es bajo, la app solo le pide la huella y está dentro en dos segundos. El sábado siguiente intenta entrar desde un ordenador que el sistema nunca ha visto, en una cafetería de otra ciudad, tecleando un poco distinto porque usa un teclado en lugar del móvil. El riesgo es medio o alto, así que la app le pide la contraseña, una notificación push en el móvil y una pregunta sobre su última operación. Si después intenta una transferencia inmediata, el riesgo vuelve a subir y el sistema le pide el PIN de operaciones o retiene la transferencia hasta que la confirme por otro canal. Sara, la usuaria real, supera todas las comprobaciones con unos segundos de más. Un atacante con su contraseña pero sin su móvil, sus patrones y su contexto se queda en alguna de ellas.

Para seguir el mercado de RBA son útiles Gartner Peer Insights de gestión de accesos, ya que el RBA es una función de las plataformas modernas de gestión de accesos, y el KuppingerCole Leadership Compass de autenticación adaptativa.

Cómo encaja con los AAL de NIST

Todo esto conecta con un estándar formal. NIST SP 800-63B define los Authenticator Assurance Levels (AAL), que relacionan factores con niveles de aseguramiento, y el artículo sobre NIST SP 800-63 los trata a fondo.

Si te piden fijar el nivel de autenticación de un sistema, esta tabla es la referencia: la banca normal suele exigir AAL2, y la administración o la banca de alto valor pueden exigir AAL3.

Resumen

Las cinco categorías son el vocabulario de trabajo de cualquier conversación seria sobre autenticación. Algo que sabes, contraseñas y PIN, es lo más común y lo más débil. Algo que tienes, TOTP, push, llaves FIDO2 y passkeys, es sólido si está bien implementado. Algo que eres, la biometría, es fuerte con detección de vida y no se puede revocar si se filtra. Algo que haces, las señales de comportamiento, es un factor de apoyo silencioso. Y el contexto ajusta el riesgo en lugar de demostrar nada por sí mismo.

SFA, 2FA y MFA se reducen a una regla: para contar como MFA de verdad, los factores tienen que venir de categorías distintas. La autenticación escalonada y el RBA son las formas modernas de salir del viejo dilema entre fricción y seguridad: pedir solo lo necesario, cuando es necesario, según el riesgo real del momento.

Tres preguntas para ponerte a prueba

1. Una app ofrece “doble autenticación” pidiendo una contraseña y un PIN de cuatro dígitos. ¿Es 2FA de verdad? Explica por qué.
2. Diseña la lógica de autenticación escalonada de una app de inversión: define al menos cuatro acciones distintas y el nivel de autenticación que pedirías para cada una.
3. Tu director financiero dice: “Implantemos RBA con una puntuación de 0 a 100 y bloqueemos cualquier inicio de sesión por encima de 60”. ¿Qué tres advertencias le harías sobre una implementación tan simple?