¿Un nombre de usuario / contraseña + PIN enviado por correo electrónico cuenta como 2FA seguro?

Desde un punto de vista de seguridad puro, no consideraría esto como 2FA (que tradicionalmente se define como "dos de algo que sabes, algo que tienes, algo que eres).

Desde un punto de vista práctico, puedo ver algunos problemas potenciales con esto en un entorno empresarial. En muchas empresas, el inicio de sesión en las aplicaciones está vinculado al inicio de sesión de Active Directory, que también se utiliza para acceder al sistema de correo electrónico, por lo que un atacante con acceso al nombre de usuario / contraseña de la cuenta de los usuarios también podría acceder al token .

Incluso si no están vinculados formalmente, muchos usuarios corporativos según mi experiencia practicarán una especie de inicio de sesión informal en el que sincronizarán manualmente sus contraseñas para todos los sistemas corporativos, por lo que nuevamente un atacante con acceso a una voluntad Obtén acceso a los demás, sin pasar por tu 2FA.

Si considera otro posible escenario de ataque (malware en la PC de los usuarios) nuevamente, se evitaría este requisito, ya que sería posible acceder a las contraseñas de los usuarios para la aplicación y el servicio de correo electrónico usando un keylogger.

En resumen, diría que de sus dos opciones, esto es más un inconveniente adicional a cambio de una pequeña ganancia. Si el perfil de riesgo de la aplicación justifica 2FA, me gustaría ver soluciones completas de estilo 2FA (por ejemplo, fichas físicas o biométricas)