c1.4 Exige autenticación multifactor
Exige un segundo factor de autenticación en todas partes. AWS ahora exige MFA para el usuario root de cada cuenta, y deberías extender MFA a todo acceso humano — idealmente con passkeys o llaves de seguridad FIDO2 resistentes al phishing.
Guía de implementación
El MFA ahora es obligatorio para root
AWS exige MFA para el usuario root en todos los tipos de cuenta (independiente, de administración y miembro). Los usuarios deben registrar MFA dentro de los 35 días del primer inicio de sesión en la consola si no está ya habilitado. Configúralo antes de que AWS fuerce el aviso y registra más de un dispositivo — un usuario root o IAM puede registrar hasta ocho dispositivos MFA, así perder uno no te deja fuera.
Prefiere factores resistentes al phishing
Los tipos de MFA soportados incluyen passkeys y llaves de seguridad FIDO2 (resistentes al phishing, recomendadas), apps de autenticación virtual (TOTP) y tokens de hardware TOTP. Prefiere passkeys/FIDO2 cuando puedas; resisten el phishing de credenciales que vence a los códigos TOTP.
MFA para todos, en todas partes
Extiende el MFA más allá de root: a cada identidad humana en tu proveedor de identidad / IAM Identity Center, y a los usuarios finales de tus aplicaciones vía Amazon Cognito. Donde el MFA permanente afecte la experiencia, la autenticación adaptativa (según contexto) solicita MFA solo ante anomalías (dispositivo nuevo, país nuevo, comportamiento inusual) — soportada por IAM Identity Center y Cognito.
Evita usuarios IAM de larga vida con access keys; prefiere credenciales temporales federadas para que no haya un secreto durable que robar.
Cómo validar
- ¿Está MFA habilitado en TODOS los usuarios root (o root centralizado con el root de cuentas miembro deshabilitado por SCP)?
- ¿Usas factores resistentes al phishing (passkeys / FIDO2) para el acceso privilegiado?
- ¿Tu proveedor de identidad / IAM Identity Center exige MFA a todos los empleados?
- ¿Aún tienes usuarios IAM con access keys en lugar de credenciales temporales federadas?
- ¿Se ofrece MFA a los usuarios finales de tus aplicaciones (CIAM) en acciones críticas?
Amenazas que atiende
- ATT&CK Credential Access los atacantes obtienen contraseñas por adivinación, phishing, keyloggers, fuerza bruta y ataques de diccionario. Un segundo factor ("algo que tienes") frena el avance aunque conozcan la contraseña; las passkeys/FIDO2 resistentes al phishing también vencen el phishing en tiempo real del segundo factor.
Servicios AWS
AWS IAM 
AWS IAM Identity Center Precios
No hay cargo adicional por habilitar MFA para usuarios de AWS ni en Amazon Cognito. Las passkeys usan dispositivos que ya tienes; las llaves de hardware FIDO2 son una compra única a proveedores externos.