Autenticación de dos factores: por qué importa y cómo activarla
Una contraseña es solo una capa de protección de la cuenta, y las filtraciones de contraseñas ocurren con regularidad. La autenticación de dos factores añade una segunda barrera que hace mucho más difícil que alguien entre en tu cuenta, incluso si ya conoce la contraseña.
Qué es la autenticación de dos factores
La autenticación de dos factores (2FA) confirma un inicio de sesión mediante dos tipos distintos de prueba: algo que sabes (una contraseña) y algo que tienes o que eres (un código de una app, una llave física, una huella digital). Si uno de los factores se ve comprometido —por ejemplo, tu contraseña aparece en otra filtración de bases de datos—, el segundo factor sigue protegiendo la cuenta.
Por qué una contraseña sola no es suficiente
Las contraseñas se roban mediante phishing, se adivinan a partir de diccionarios de bases de datos filtradas y se reutilizan entre servicios: si la contraseña de un sitio coincide con la de tu correo, entrar en una cuenta arrastra a las demás con ella. Incluso una contraseña fuerte y única generada por un gestor de contraseñas no te protege de escribirla en una página de inicio de sesión falsa. Por eso las directrices actuales sobre identidad digital (NIST SP 800-63B) afirman con claridad que una contraseña por sí sola no es resistente al phishing, y que las cuentas importantes necesitan un factor adicional, idealmente uno difícil de interceptar de forma remota.
Qué tipos de 2FA existen
- Código SMS — la opción más sencilla, pero vulnerable a la interceptación mediante cambio de SIM y a la ingeniería social dirigida al operador.
- Aplicación de autenticación (TOTP) — genera un código de un solo uso cada 30 segundos a partir de un secreto compartido, sin necesidad de conexión a internet (Google Authenticator, Aegis, Microsoft Authenticator y apps similares). Funciona incluso si el teléfono está sin conexión.
- Confirmación push — el servicio envía un aviso de «¿Eres tú quien inicia sesión?» a un dispositivo que ya has vinculado.
- Llave física o passkey — la opción más resistente al phishing: la llave verifica que realmente estás en el sitio real del servicio, no en una imitación.
Cuánto ayuda esto en realidad
Según investigaciones de Google y Microsoft, activar cualquier segundo factor —incluso uno básico— bloquea la inmensa mayoría de los intentos automatizados de relleno de credenciales y de phishing masivo: un bot simplemente no tiene nada con qué responder a la solicitud de un código. El efecto es algo más modesto frente a ataques dirigidos, pero una aplicación de autenticación o una llave física sigue siendo más fiable que el SMS por sí solo.
Cómo activar el 2FA: paso a paso
- Abre la configuración de seguridad de la cuenta (normalmente una sección de «Seguridad» o «Inicio de sesión y recuperación») en tu correo, mensajería o app bancaria.
- Elige un método de verificación. Si tienes la opción, prefiere una aplicación de autenticación o una passkey en lugar de SMS.
- Escanea el código QR con tu aplicación de autenticación, o confirma la vinculación del dispositivo.
- Guarda los códigos de recuperación de respaldo en un lugar seguro, no en la app de notas del teléfono, que puede desaparecer junto con los códigos.
- Inicia sesión desde otro dispositivo o navegador para confirmar que realmente se solicita el segundo factor.
Como los códigos ahora están, en la práctica, vinculados a tu teléfono, también conviene revisar la seguridad general del dispositivo: nuestra lista de verificación de seguridad para Android lo cubre en detalle.
Lista de comprobación tras activar el 2FA
- Los códigos de recuperación están guardados fuera de línea (en papel o en un gestor de contraseñas), no solo en una carpeta de capturas de pantalla.
- Hay configurado al menos un método de inicio de sesión de respaldo por si se pierde el teléfono.
- La contraseña de la cuenta sigue siendo única y fuerte: el 2FA complementa la contraseña, no la sustituye; ya tratamos cómo elegir una herramienta para esto en nuestro artículo sobre gestores de contraseñas.
- Revisa la lista de sesiones activas y dispositivos conectados en la configuración del servicio cada pocos meses.
Si tienes que recibir un código o una confirmación push a través de Wi-Fi público —en una cafetería, un hotel o un aeropuerto—, conviene cifrar ese tramo de la conexión por separado: más sobre esto en nuestro artículo sobre cómo proteger tus datos en redes públicas. HamikVPN es una herramienta práctica para ese tipo de cifrado, tanto en el teléfono como en el ordenador: la app de Android está disponible en la página de descargas.