La autenticación de dos factores, abreviada como 2FA, exige dos pruebas de identidad antes de permitir el acceso a una cuenta. Si una contraseña se filtra, se adivina o se entrega por error en una página falsa, al atacante todavía le falta la segunda prueba.
Ese obstáculo adicional evita muchos accesos oportunistas, pero no todos los métodos protegen igual. Un SMS es mejor que depender únicamente de la contraseña; una llave de seguridad o una clave de acceso bien implementada puede, además, impedir que el segundo factor funcione en una web impostora.
Dos factores no significa hacer lo mismo dos veces
Los factores se agrupan por el tipo de prueba que aportan:
- Algo que sabes: contraseña o PIN.
- Algo que tienes: móvil, aplicación autenticadora, llave física o dispositivo de confianza.
- Algo que eres: una característica biométrica, como huella o rostro, normalmente utilizada para desbloquear un dispositivo o una credencial.
Introducir una contraseña y después responder a una pregunta secreta son dos pasos, pero pertenecen a la misma categoría: información que la persona sabe. Del mismo modo, pedir dos contraseñas no crea una auténtica segunda barrera.
El Instituto Nacional de Ciberseguridad describe 2FA como una medida adicional a la contraseña y recomienda activarla en las cuentas que la ofrezcan. El valor está en que comprometer una prueba no entregue automáticamente la otra.
Qué ocurre al iniciar sesión
En una cuenta clásica, quien conoce la dirección de correo y la contraseña puede entrar. Con 2FA, el servicio detiene el proceso y plantea un segundo reto. Según el método elegido, puede pedir:
- tocar una llave física;
- confirmar una clave de acceso en el dispositivo correcto;
- comparar o introducir un número en una aplicación;
- copiar un código temporal generado por una aplicación;
- introducir un código recibido por SMS o correo.
El servicio no suele solicitar el segundo factor en cada uso. Puede recordar un dispositivo durante un tiempo y volver a pedirlo ante un navegador nuevo, un cambio sensible o una señal de riesgo. Marcar un equipo como confiable solo tiene sentido si es propio, está bloqueado y no se comparte.
Métodos disponibles, de más resistentes a más frágiles
Llave de seguridad y credenciales FIDO
Una llave física compatible se conecta por USB o se aproxima mediante NFC. Las claves de acceso o passkeys usan una credencial criptográfica guardada en un dispositivo o sincronizada de forma protegida. En ambos casos, el servicio recibe una prueba válida para su dominio, no un secreto que el usuario pueda copiar en cualquier formulario.
Esa vinculación es importante. Las directrices de identidad digital del NIST consideran resistentes al phishing los protocolos que ligan criptográficamente la autenticación al verificador legítimo, como WebAuthn. Una web falsa no puede reutilizar la credencial para entrar en la verdadera.
Una clave de acceso puede desbloquearse con huella, rostro o PIN del dispositivo. La biometría no se envía normalmente a la página; sirve para autorizar localmente el uso de la credencial. Hay que configurar la recuperación y conocer dónde se sincronizan esas claves antes de depender de ellas como única vía.
Notificación con comparación de número
La aplicación muestra una solicitud y obliga a elegir o escribir el número que aparece en la pantalla de inicio de sesión. Es mejor que un simple botón «Aprobar», porque dificulta aceptar por inercia una petición provocada por otra persona.
Una notificación inesperada debe rechazarse. Recibir varias no significa que el sistema esté averiado: puede indicar que alguien ya conoce la contraseña y está intentando cansar al titular hasta que confirme.
Código de una aplicación autenticadora
La aplicación genera códigos de un solo uso que cambian cada pocos segundos. Funciona aunque el móvil no tenga cobertura y evita depender de la entrega por SMS. Durante el alta, el servicio comparte un secreto —habitualmente mediante un QR—; quien copie ese secreto podrá generar los mismos códigos.
El código temporal se puede robar mediante phishing. Si se introduce en una página falsa, el atacante puede reenviarlo inmediatamente al sitio auténtico. Es una mejora clara frente a la contraseña sola, pero no equivale a resistencia frente a una web impostora.
SMS o correo electrónico
Son opciones accesibles y siguen siendo preferibles a no usar ninguna segunda comprobación. Sin embargo, un SMS depende de la línea telefónica y puede verse afectado por fraude de duplicado de SIM, fallos de cobertura o desvíos. El correo como segundo factor pierde valor si protege precisamente la cuenta de correo o si ambas cuentas comparten contraseña.
La jerarquía práctica de CISA sitúa las llaves resistentes al phishing por encima de aplicaciones y deja texto o correo como opciones más débiles. No hace falta renunciar a activar 2FA porque el servicio solo ofrezca SMS: se puede usar ahora y cambiar a un método mejor cuando esté disponible.
Qué cuentas proteger primero
Empezar por las cuentas que permiten recuperar o controlar las demás ofrece el mayor beneficio:
- Correo principal: recibe restablecimientos de contraseña y avisos de seguridad.
- Gestor de contraseñas: concentra las credenciales únicas, si el servicio admite un segundo factor.
- Cuenta del teléfono y almacenamiento en la nube: pueden contener copias, fotos, contactos y claves sincronizadas.
- Banca, administración y trabajo: manejan dinero, identidad o información sensible.
- Mensajería y redes sociales: una intrusión permite suplantar a la persona ante sus contactos.
- Comercio, juegos y otros servicios con pagos o activos digitales.
Activarla primero en una red social y dejar el correo sin protección invierte las prioridades: quien domine el buzón puede intentar recuperar aquella cuenta.
Cómo activarla sin quedarse fuera
Cada plataforma usa nombres distintos —«verificación en dos pasos», «doble factor», «llave de acceso»—, pero el proceso general es parecido:
- entra escribiendo la dirección oficial o desde la aplicación auténtica;
- abre el apartado de seguridad de la cuenta;
- revisa los métodos disponibles y elige el más resistente que puedas mantener;
- registra el segundo factor siguiendo las instrucciones del servicio;
- completa una prueba antes de cerrar la sesión actual;
- genera los códigos de recuperación si existen;
- añade un segundo método de respaldo cuando el servicio lo permita;
- revisa dispositivos y sesiones abiertas y cierra los que no reconozcas.
Si se configura una aplicación autenticadora, el QR de alta debe tratarse como una contraseña. No se publica, no se envía por mensajería y no se deja visible en una captura. Después conviene comprobar cómo se traslada o recupera el autenticador al cambiar de móvil; las aplicaciones no funcionan todas del mismo modo.
Los códigos de recuperación son una llave de emergencia
Estos códigos permiten entrar cuando se pierde el teléfono o falla el factor habitual. Precisamente por eso deben protegerse bien. Guardarlos solo dentro del móvil al que sustituyen no resuelve la emergencia.
Opciones razonables son una copia impresa en un lugar privado, una nota protegida dentro de un gestor de contraseñas o un soporte cifrado accesible desde otro dispositivo. Una captura sincronizada automáticamente con una nube desprotegida puede poner recuperación y cuenta bajo el mismo riesgo.
Cuando se utiliza un código, algunos servicios lo invalidan. Tras perder un dispositivo hay que revocar ese método, cerrar sesiones desconocidas y generar un juego nuevo. No se debe entregar un código de recuperación a alguien que llama o escribe diciendo ser «soporte».
Qué hacer ante una solicitud que no has iniciado
No la apruebes, aunque llegue desde la aplicación auténtica. Entra en el servicio por tu ruta habitual, cambia la contraseña por una única y revisa las sesiones. Si la cuenta permite denunciar la solicitud, hazlo.
Nunca dictes un código temporal por teléfono o chat. Una entidad puede pedir que confirmes tu identidad dentro de su aplicación, pero no necesita que le leas el secreto con el que se completa el acceso. Si una llamada genera urgencia, cuelga y contacta mediante el número oficial.
Lo que 2FA no arregla por sí sola
La doble autenticación reduce el riesgo, pero no protege una sesión ya robada, un dispositivo infectado o una recuperación de cuenta mal asegurada. Tampoco evita autorizar conscientemente una operación fraudulenta dentro de una cuenta legítima.
Por eso debe convivir con otras medidas:
- contraseña distinta para cada servicio, preferiblemente gestionada con una herramienta fiable;
- dispositivos, navegador y aplicaciones actualizados;
- bloqueo de pantalla y cifrado del teléfono u ordenador;
- revisión de direcciones web y solicitudes inesperadas;
- factores y vías de recuperación actualizados;
- cierre de sesiones antiguas o desconocidas.
La contraseña y el segundo factor no compiten. Una credencial única limita el daño de una filtración; 2FA añade una barrera cuando esa primera defensa falla.
Una decisión que se toma una vez y protege cada acceso
Activar 2FA requiere unos minutos y luego suele intervenir solo en dispositivos nuevos o acciones sensibles. Para una persona, el orden práctico es sencillo: asegurar primero el correo, escoger el método más fuerte que ofrezca cada servicio y preparar la recuperación antes de necesitarla.
Si hay opción entre SMS y aplicación, la aplicación suele ser preferible. Si se ofrecen una llave de seguridad o una clave de acceso resistente al phishing y se entiende su recuperación, son una protección superior. Lo importante es no dejar la cuenta con una sola prueba por esperar al sistema perfecto.
