La MFA ofrece a las cuentas una protección sólida frente a contraseñas débiles o vulneradas. Según las prácticas recomendadas y las normas de seguridad, lo aconsejable es habilitar la MFA, incluso para las cuentas sin privilegios. Las cuentas que no tienen registrado ningún método de MFA no pueden beneficiarse de esta característica.

Nota: Este IoE se basa en las licencias de Microsoft Entra ID P1 o P2 para acceder a los datos necesarios. Si el inquilino no tiene la licencia necesaria (p. ej., Entra ID gratis), este IoE no devolverá ningún hallazgo.
La autenticación multifactor (MFA), conocida anteriormente como autenticación en dos fases (2FA), ofrece a las cuentas una protección sólida frente a contraseñas débiles o vulneradas. Según las prácticas recomendadas y las normas de seguridad, lo aconsejable es habilitar la MFA, incluso para las cuentas sin privilegios.
Cuando un atacante obtiene por cualquier método la contraseña de un usuario, la MFA solicita un factor o paso adicional (como un código de una aplicación móvil que vence tras un plazo determinado, un token físico, un rasgo biométrico, etc.) para bloquear la autenticación.
Este indicador de exposición le avisa cuando una cuenta no tiene registrado ningún método de MFA o si se exige la MFA sin registrar ningún método, lo que puede permitir que los atacantes que cuenten con una contraseña registren sus propios métodos de MFA y generen un riesgo de seguridad. Sin embargo, este indicador de exposición no puede informar si Microsoft Entra ID exige la MFA o no, ya que las directivas de acceso condicional pueden exigir la MFA según criterios dinámicos.
También puede usar las características “<a href="https://learn.microsoft.com/es-es/entra/identity/authentication/howto-authentication-methods-activity">Actividad de los métodos de autenticación</a>” e “<a href="https://learn.microsoft.com/es-es/entra/identity/authentication/howto-mfa-reporting">Informes de MFA</a>” en Entra ID.
Consulte también el indicador de exposición relacionado, “MFA faltante para cuenta privilegiada”, si se trata de cuentas con privilegios.
Los usuarios deshabilitados se ignoran, ya que los atacantes no pueden aprovecharse de ellos de inmediato y también debido a una limitación de Microsoft Graph API, que informa un estado de MFA incorrecto para los usuarios deshabilitados.

Initial Access (texto en inglés)

Valid Accounts: Cloud Accounts (texto en inglés)

Privilege Escalation (texto en inglés)

Account Manipulation (texto en inglés)

Credential Access (texto en inglés)

Brute Force: Password Guessing (texto en inglés)

Brute Force: Password Spraying (texto en inglés)

Brute Force: Credential Stuffing (texto en inglés)

Modify Authentication Process: Multi-Factor Authentication (texto en inglés)

MFA faltante para cuenta sin privilegios

Detecciones

MFA faltante para cuenta sin privilegios

MEDIUM

Version 202608241311