Autenticación de dos factores: tu superpoder de seguridad

¿Qué es la autenticación de dos factores?

La autenticación de dos factores —comúnmente llamada 2FA o MFA (autenticación multifactor)— añade una segunda capa de protección a tus cuentas. En lugar de iniciar sesión solo con una contraseña, también necesitas demostrar tu identidad de una segunda forma.

Piénsalo como la cámara acorazada de un banco con dos cerraduras independientes. Un ladrón que roba una llave sigue sin poder entrar sin la segunda.

Los tres factores clásicos de la autenticación son:

• Algo que sabes: una contraseña o un PIN
• Algo que tienes: tu teléfono, una llave de hardware o un código de un solo uso
• Algo que eres: una huella dactilar o un escaneo facial

El 2FA combina dos de estos. Lo más común: tu contraseña (algo que sabes) más un código enviado a tu teléfono (algo que tienes).

Por qué el 2FA importa tanto

Las contraseñas se roban constantemente: mediante filtraciones de datos, ataques de phishing y malware. Solo en 2024 se expusieron miles de millones de credenciales. Si un atacante tiene tu nombre de usuario y contraseña pero tú tienes el 2FA activado, seguirá sin poder entrar.

El 2FA bloquea la gran mayoría de los ataques automatizados de robo de cuentas. La propia investigación de Google descubrió que añadir un segundo factor basado en el teléfono bloqueaba el 100 % de los ataques automatizados de bots y el 96 % de los ataques de phishing dirigidos. Es una de las medidas de seguridad más eficaces disponibles para los usuarios habituales.

Tipos de autenticación de dos factores

Códigos SMS (los menos seguros, pero aún mejores que nada)

La forma más común de 2FA envía un código de un solo uso a tu teléfono mediante un mensaje de texto. Es cómodo, pero tiene debilidades:

• SIM swapping: los atacantes pueden engañar a tu operador móvil para que transfiera tu número a su tarjeta SIM.
• Interceptación: en algunos casos, los mensajes SMS pueden ser interceptados.

Dicho esto, el 2FA por SMS sigue siendo mucho mejor que no tener 2FA. Úsalo si es lo único que se ofrece.

Aplicaciones de autenticación (recomendado)

Las aplicaciones de autenticación generan contraseñas de un solo uso basadas en el tiempo (TOTP): códigos de 6 dígitos que cambian cada 30 segundos. A diferencia del SMS, estos códigos nunca viajan por una red, lo que los hace resistentes a la interceptación y al SIM swapping.

Aplicaciones de autenticación populares:

• Google Authenticator: sencilla y ampliamente compatible
• Authy: admite copia de seguridad en la nube y múltiples dispositivos
• Microsoft Authenticator: se integra bien con las cuentas de Microsoft
• 1Password / Bitwarden: gestores de contraseñas que también gestionan códigos TOTP

Llaves de seguridad de hardware (las más seguras)

Una llave de hardware es un pequeño dispositivo físico —como una memoria USB— que conectas o acercas para autenticarte. Marcas como YubiKey y Google Titan son opciones populares. Estas son el estándar de oro de la seguridad porque:

• No se pueden usar para phishing (verifican el dominio real del sitio web)
• No hay ningún código que interceptar o robar
• Se requiere posesión física

Las llaves de hardware son ideales para cuentas de alto valor como la banca, el correo electrónico o los gestores de contraseñas.

Datos biométricos y notificaciones push

Algunas aplicaciones ofrecen notificaciones push (pulsar "Aprobar" en tu teléfono) o confirmación biométrica (huella dactilar o Face ID). Son cómodas y razonablemente seguras, aunque la fatiga por notificaciones push —aprobar accidentalmente una solicitud que no iniciaste— es un riesgo real. Lee siempre las notificaciones push con atención.

Cómo configurar el 2FA: paso a paso

1. Ve a la configuración de seguridad de tu cuenta. Busca "Autenticación de dos factores", "Verificación en dos pasos" o "Seguridad de inicio de sesión".
2. Elige tu método. Selecciona una aplicación de autenticación si está disponible.
3. Escanea el código QR con tu aplicación de autenticación, o introduce la clave de configuración manualmente.
4. Guarda tus códigos de respaldo. Cada servicio te proporciona un conjunto de códigos de respaldo de un solo uso cuando configuras el 2FA. Guárdalos en un lugar seguro: son la forma de recuperar el acceso si pierdes el teléfono.
5. Pruébalo. Cierra sesión y vuelve a iniciarla para confirmar que el 2FA funciona.

¿Qué cuentas deberían tener 2FA?

Prioriza primero estas cuentas:

• Correo electrónico: tu correo es la llave maestra para restablecer la contraseña de todas las demás cuentas
• Cuentas bancarias y financieras
• Gestor de contraseñas
• Cuentas de redes sociales
• Cuentas de trabajo
• Almacenamiento en la nube (Google Drive, iCloud, Dropbox)

Luego actívalo en todos los demás sitios que lo ofrezcan. La mayoría de los servicios importantes admiten 2FA hoy en día.

¿Y los códigos de respaldo?

Cuando configures el 2FA, guarda los códigos de respaldo que te proporcione el servicio. Son códigos de un solo uso que te permiten acceder a tu cuenta si pierdes el teléfono o la aplicación de autenticación. Guárdalos:

• Impresos y almacenados en un lugar físico seguro
• En un gestor de contraseñas (separado de la cuenta que protegen)

Nunca guardes los códigos de respaldo en el mismo dispositivo que usas para el 2FA.

Dudas frecuentes resueltas

"¿Y si pierdo el teléfono?" Usa tus códigos de respaldo para iniciar sesión y luego configura el 2FA en tu nuevo dispositivo.

"¿No es demasiado incómodo?" La mayoría de las aplicaciones de autenticación recuerdan tu dispositivo durante 30 días. Solo introducirás un código en dispositivos nuevos o tras cierto periodo de tiempo.

"¿Y si se borra la aplicación?" Si usaste Authy, tus códigos están respaldados en la nube. Para otras aplicaciones, tus códigos de respaldo te salvarán.

La pequeña molestia de introducir un código de vez en cuando es un precio mínimo por una seguridad de la cuenta drásticamente mayor.