Microsoft ha anunciado un cambio trascendental en sus políticas de seguridad: a partir del 1 de octubre de 2025, la autenticación multifactor (MFA) será obligatoria para todas las acciones de administración de recursos en Azure. Esta medida, que forma parte de la Iniciativa de Futuro Seguro (SFI) de la compañía, busca fortalecer la protección contra accesos no autorizados y reducir la exposición de los clientes de Azure a ataques cibernéticos cada vez más sofisticados.
El despliegue será gradual y abarcará todos los inquilinos de Azure en la nube pública a nivel mundial, aplicando esta capa adicional de seguridad tanto a usuarios como a administradores que realicen operaciones críticas.
¿Qué acciones estarán protegidas por MFA en Azure?
De acuerdo con la comunicación oficial de Microsoft, la obligatoriedad de MFA se extenderá a todas las plataformas y herramientas utilizadas para administrar recursos en Azure. Entre ellas se incluyen:
-
Azure CLI (requiere versión 2.76 o posterior).
-
Azure PowerShell (requiere versión 14.3 o posterior).
-
SDK de Azure.
-
API REST de Azure.
-
Aplicación móvil de Azure.
-
Herramientas de Infraestructura como Código (IaC).
Esto significa que cualquier acción de creación, actualización o eliminación de recursos deberá estar validada mediante autenticación multifactor. Incluso los scripts y procesos de automatización que utilicen identidades de usuario, en lugar de ID de aplicación, estarán sujetos a esta medida.
Plazos y excepciones para los administradores de Azure
Si bien la aplicación de MFA será obligatoria a partir de octubre de 2025, Microsoft reconoce que algunas organizaciones necesitarán más tiempo para adaptar sus entornos. Por ello, ha otorgado la posibilidad de posponer la fecha límite hasta julio de 2026, exclusivamente para administradores globales que requieran tiempo adicional de implementación.
La recomendación es clara: habilitar MFA cuanto antes para evitar interrupciones operativas. Los administradores pueden utilizar herramientas como el informe de registro de métodos de autenticación o scripts de PowerShell para obtener un panorama rápido sobre el estado actual de su base de usuarios y determinar quiénes ya cuentan con MFA habilitado.
Contexto: una estrategia de seguridad de largo plazo
La decisión de Microsoft no surge de manera aislada. Forma parte de una estrategia global de seguridad que la compañía ha venido impulsando en los últimos años para reforzar la protección de cuentas frente a accesos indebidos.
En agosto de 2024, Microsoft ya había advertido a los administradores globales de Entra (antes Azure Active Directory) que habilitaran MFA antes del 15 de octubre de ese año, con el objetivo de evitar pérdidas de acceso a los portales de administración.
En noviembre del mismo año, también se implementaron políticas de acceso condicional que exigían MFA para todos los administradores de portales de Microsoft, usuarios de aplicaciones en la nube y cuentas con inicios de sesión de alto riesgo.
Además, GitHub —propiedad de Microsoft— comenzó en enero de 2024 a aplicar la autenticación de dos factores (2FA) de forma obligatoria para todos los desarrolladores activos, reforzando la misma línea de acción hacia un ecosistema más seguro.
¿Por qué Microsoft apuesta por MFA como medida central de seguridad?
Los datos respaldan la importancia de la autenticación multifactor en la lucha contra el cibercrimen. Según un estudio de Microsoft, las cuentas protegidas con MFA resisten el 99,99% de los intentos de hackeo, incluso en casos en los que los atacantes ya disponen de credenciales robadas.
De hecho, las estadísticas internas de la compañía muestran que el riesgo de compromiso de una cuenta se reduce en un 98,56% cuando está protegida por MFA. En un panorama digital donde el phishing, el robo de contraseñas y los ataques automatizados son cada vez más frecuentes, estas cifras evidencian que MFA es una de las defensas más eficaces contra accesos indebidos.
Recomendaciones para administradores y usuarios de Azure
Para garantizar una transición sin inconvenientes, Microsoft aconseja a todos los usuarios y administradores de Azure seguir las siguientes buenas prácticas:
-
Actualizar herramientas: instalar la última versión de Azure CLI (2.76 o superior) y Azure PowerShell (14.3 o superior) antes de octubre de 2025.
-
Habilitar MFA de inmediato: no esperar al despliegue obligatorio, ya que la activación temprana reduce riesgos.
-
Verificar compatibilidad de scripts y automatizaciones: revisar procesos que utilizan identidades de usuario para evitar interrupciones.
-
Monitorear el registro de métodos de autenticación: utilizar los informes nativos de Azure para identificar qué cuentas aún no han habilitado MFA.
-
Planificar excepciones: en caso de que la organización necesite tiempo adicional, los administradores globales pueden solicitar la prórroga hasta julio de 2026.
En fin, la autenticación multifactor en Azure a partir de octubre de 2025 marca un hito en la estrategia de seguridad de Microsoft y representa un paso decisivo hacia la consolidación de un ecosistema en la nube más seguro.
La medida no solo responde a las crecientes amenazas digitales, sino que también refleja un compromiso continuo con la protección de datos y la confianza de los clientes. Para las organizaciones, la clave estará en anticiparse, adoptar MFA cuanto antes y actualizar sus herramientas de gestión de Azure, garantizando así la continuidad de sus operaciones y la seguridad de sus entornos en la nube.
Fuente: Bleeping Computer
