Microsoft está intensificando las medidas de seguridad para sus clientes empresariales, exigiendo autenticación multifactor (MFA) para todos los usuarios que accedan al centro de administración de Microsoft 365.

La política entrará en vigor por completo el 9 de febrero de 2026, basándose en un despliegue más gradual que comenzó en febrero de 2025. Las organizaciones que dependen de estas herramientas deben actuar ahora para evitar interrupciones.

Esta medida subraya el enfoque agresivo de Microsoft contra los ataques basados en credenciales, que siguen siendo uno de los principales vectores de brechas de seguridad. Según el blog de la comunidad técnica de la compañía, los administradores sin MFA se enfrentarán a bloqueos de inicio de sesión a partir del próximo mes.

«Implementar MFA reduce significativamente el riesgo de compromiso de cuentas», afirma la publicación, destacando su protección contra phishing, relleno de credenciales, ataques de fuerza bruta y reutilización de contraseñas.

MFA para el centro de administración de Microsoft 365

Los expertos en ciberseguridad han defendido durante mucho tiempo la MFA como pilar fundamental de las arquitecturas de confianza cero, especialmente ante el aumento de amenazas contra la identidad. Solo en 2025, el Informe de Defensa Digital de Microsoft registró más de 300 millones de intentos diarios de relleno de credenciales en sus servicios.

Las cuentas de administradores con altos privilegios, frecuentemente objetivo de campañas de ransomware que explotan debilidades en Entra ID, son las que más se beneficiarán.

El centro de administración, utilizado para gestionar inquilinos, usuarios y procesos de cumplimiento, maneja operaciones sensibles. Sin MFA, una contraseña robada otorga a los atacantes un acceso casi ilimitado.

La aplicación de esta política se centra en tres portales clave: portal.office.com/adminportal/home, admin.cloud.microsoft y admin.microsoft.com. Las configuraciones heredadas sin MFA habilitado a nivel de inquilino podrían bloquear por completo a los administradores globales.

Microsoft insta a actuar de inmediato. Los administradores globales deben iniciar la configuración usando el Asistente de MFA o la guía detallada en learn.microsoft.com. Esto permite habilitar MFA en toda la organización, integrando métodos como notificaciones push de la app Microsoft Authenticator, códigos SMS o tokens de hardware.

Los usuarios individuales que accedan al centro de administración pueden verificar o añadir métodos en aka.ms/mfasetup. Aquellos que ya lo tengan configurado no necesitan cambios, pero deberían auditar las cuentas para garantizar su completitud, especialmente en entornos híbridos que combinan Active Directory local con Entra ID.

El despliegue es gradual, pero los retrasos pueden provocar cortes durante tareas críticas como la aplicación de parches o la revisión de registros de auditoría. Microsoft asegura que los usuarios que cumplan con los requisitos no experimentarán tiempo de inactividad, alineándose con mandatos más amplios, como los valores predeterminados de seguridad para nuevos inquilinos.

Esta política tiene repercusiones en marcos de cumplimiento como SOC 2, HIPAA y NIST, donde la MFA suele ser obligatoria para accesos privilegiados. Para organizaciones con fuerte presencia en la nube, refuerza las defensas junto a políticas de Acceso Condicional y Gestión de Identidades Privilegiadas (PIM). Los analistas predicen que habrá medidas similares para otras superficies de alto riesgo, como los administradores de Power Platform.

A medida que las amenazas evolucionan, con el phishing potenciado por IA en aumento, estos mandatos marcan el fin de la era de las contraseñas como único método de autenticación. Las organizaciones deberían priorizar auditorías de MFA ahora, tratándolas como puntos de control de cumplimiento en lugar de simples casillas que marcar.