Por qué la contraseña clásica ha dejado de ser suficiente
Cuando fundamos Massive Bionics y empezamos a desarrollar lo que hoy es software médico para clínicas, uno de los debates internos más recurrentes era la seguridad en el acceso. En aquellos primeros años, el modelo estándar era sencillo: usuario, contraseña y a correr. Nadie cuestionaba ese esquema porque todo el mundo lo usaba y porque los ataques dirigidos a pequeñas clínicas o despachos parecían cosa de ciencia ficción.
Han pasado más de diez años y el paisaje ha cambiado radicalmente. Por experiencia directa con cientos de clientes, he visto lo que ocurre cuando una credencial comprometida abre la puerta a toda la historia clínica de una consulta, o a los contratos firmados de un bufete. No estoy hablando de grandes corporaciones con departamentos de IT: estoy hablando de clínicas de tres sillones y despachos de cinco abogados que creían que nadie los iba a atacar precisamente por ser pequeños.
El problema no es que los usuarios sean descuidados, aunque a veces lo sean. El problema es estructural: las contraseñas se reutilizan, se filtran en brechas de terceros, se comparten entre compañeros y se olvidan con una frecuencia pasmosa. Ningún recordatorio de política de seguridad va a cambiar ese comportamiento humano de fondo. Necesitamos mecanismos que protejan incluso cuando el usuario comete el error más básico.
Qué es exactamente el doble factor y por qué ya no es opcional
El doble factor de autenticación, conocido como 2FA o MFA según la fuente que consultes, añade una segunda capa de verificación al proceso de inicio de sesión. Después de introducir la contraseña, el sistema pide algo adicional: un código temporal enviado al móvil, una notificación en una aplicación como Google Authenticator o Microsoft Authenticator, o incluso una huella dactilar si el dispositivo lo permite.
Lo que he visto en clínicas que han hecho este cambio es siempre lo mismo: los primeros días hay resistencia, el equipo se queja de que "esto complica el acceso", y al cabo de dos semanas nadie lo menciona porque ya es un hábito. El coste en fricción es mínimo. El coste de no tenerlo puede ser devastador.
En sectores como la sanidad o el ámbito legal, la normativa empieza a orientarse claramente hacia la obligatoriedad de estos mecanismos. El Reglamento General de Protección de Datos ya exige medidas técnicas adecuadas al riesgo que supone tratar datos sensibles. Un acceso sin doble factor en un entorno con historiales clínicos o expedientes jurídicos difícilmente puede considerarse una medida "adecuada" en 2025. No doy cifras de sanciones concretas porque las multas dependen de muchas variables, pero sí puedo decirte que las autoridades de control europeas han endurecido su criterio de forma visible en los últimos años.
Passwordless: el paso siguiente que ya está aquí
El concepto passwordless, o acceso sin contraseña, va un paso más allá. En lugar de depender de algo que el usuario sabe, se apoya en algo que el usuario tiene o en algo que el usuario es. Los mecanismos más comunes son los siguientes:
- Claves de acceso o passkeys: credenciales criptográficas almacenadas en el dispositivo del usuario, vinculadas a un gesto biométrico o a un PIN local. No viajan por la red, por lo que no pueden filtrarse en una brecha de servidor.
- Magic links: el sistema envía un enlace de un solo uso al correo del usuario. Sin contraseña que recordar ni que robar.
- Autenticación basada en app: una notificación push en el móvil del usuario que aprueba o rechaza el acceso con un toque.
- Biometría integrada: huella dactilar o reconocimiento facial gestionado desde el dispositivo, sin que los datos biométricos salgan nunca del mismo.
El estándar FIDO2, impulsado por la FIDO Alliance y adoptado por Google, Apple y Microsoft entre otros, es la base técnica sobre la que se construyen las passkeys. No es una promesa de futuro: está disponible hoy en los principales navegadores y sistemas operativos. Si el software que utilizas en tu clínica o despacho no contempla ninguna de estas opciones en su hoja de ruta, es una señal que merece atención.
Cómo implementarlo sin hundir la productividad de tu equipo
Una de las preguntas que me hacen con más frecuencia en eventos y en conversaciones con clientes es esta: "Enrique, ¿cómo le explico a mi recepcionista que ahora tiene que hacer algo más para entrar al programa?" La respuesta honesta es que depende mucho de cómo se presente el cambio y de qué herramienta se use para instrumentarlo.
Por experiencia, lo que mejor funciona es introducir el doble factor primero solo para los perfiles con más privilegios, los que acceden a datos más sensibles o los que pueden modificar configuraciones críticas. Una vez que esos usuarios lo tienen integrado y lo viven como algo normal, extenderlo al resto del equipo es mucho más sencillo porque ya existe un referente interno que puede ayudar a resolver dudas.
Si estás evaluando qué plataforma de gestión adoptar o comparando las opciones disponibles en el mercado, te recomiendo revisar nuestra comparativa de software para clínicas donde señalamos específicamente qué soluciones incluyen doble factor y cuáles están trabajando ya con passkeys. Es un criterio que, en mi opinión, debería estar en cualquier lista de requisitos mínimos junto con la integración con otras herramientas o el soporte técnico.
Para los que gestionáis despachos o consultorios y queréis profundizar en opciones especializadas, el portal gestionmedica.org recoge recursos y análisis orientados específicamente a la gestión en entornos sanitarios, con criterios de seguridad como parte central de la evaluación.
Lo que diferencia a un proveedor serio en este punto
Cuando evalúo software para recomendar a mis clientes, hay preguntas concretas que siempre hago al proveedor. La primera es si el doble factor está disponible o si está en el roadmap y en qué fecha. La segunda es si los tokens de sesión tienen caducidad automática o si una sesión abierta puede quedar activa indefinidamente. La tercera es si los logs de acceso son accesibles para el administrador de la cuenta, porque sin trazabilidad no hay auditoría posible.
Un proveedor que no tiene respuesta clara para estas tres preguntas no está tomando la seguridad en serio, independientemente de lo que diga su página de marketing. En el sector sanitario y en el legal, donde los datos que manejamos son de las categorías más sensibles que existen, ese nivel de exigencia no es excesivo: es lo mínimo razonable.
El camino hacia un acceso verdaderamente seguro no es caro ni complejo si se planifica bien. Es un proceso gradual que empieza por activar el doble factor hoy, que sigue por exigirlo a los proveedores que contrates mañana, y que a medio plazo te lleva a un entorno donde la contraseña tradicional habrá quedado como lo que ya es: una reliquia del pasado que nunca fue tan segura como creíamos.
Preguntas frecuentes
¿Es obligatorio el doble factor para clínicas según el RGPD?
El RGPD no menciona el doble factor de forma explícita, pero obliga a implementar medidas técnicas adecuadas al nivel de riesgo del tratamiento. Dado que los datos de salud son categoría especial bajo el artículo 9, las autoridades de control europeas consideran cada vez más que un acceso sin 2FA no cumple ese umbral de adecuación en entornos sanitarios.
¿Las passkeys funcionan si el usuario cambia de dispositivo?
Depende del ecosistema. En el caso de Apple, las passkeys se sincronizan entre dispositivos del mismo ID de Apple a través de iCloud Keychain. En Android ocurre algo similar con Google Password Manager. Si el usuario cambia de ecosistema, el proceso de recuperación varía según el proveedor del software, así que conviene preguntar al fabricante cómo gestiona ese escenario antes de implantarlo.
¿Qué ocurre si el empleado pierde el móvil que usa para el segundo factor?
Un buen sistema de doble factor siempre incluye un proceso de recuperación alternativo: códigos de respaldo de un solo uso que el usuario debe guardar en un lugar seguro al activar el 2FA, o la posibilidad de que un administrador de la cuenta restablezca el acceso de forma controlada. Antes de activar el doble factor en tu organización, asegúrate de que el proveedor tiene documentado ese flujo de recuperación.
¿El acceso sin contraseña es más seguro que el doble factor tradicional?
En la mayoría de los escenarios, sí. Las passkeys basadas en FIDO2 eliminan el vector de ataque de phishing porque la credencial está vinculada criptográficamente al dominio concreto del servicio y nunca se transmite por la red. El 2FA tradicional por SMS sigue siendo vulnerable a ataques de intercambio de SIM, aunque es significativamente mejor que no tener ningún segundo factor. Lo ideal es avanzar hacia passkeys cuando el software que usas ya las soporta.