Autenticación en dos pasos
La autenticación en dos pasos (2FA), que muchos servicios llaman verificación en dos pasos, protege una cuenta pidiendo dos pruebas de identidad en lugar de una: la contraseña y un segundo elemento, como un código generado en el móvil, una notificación que hay que aprobar o una llave de seguridad física. Si alguien roba la contraseña, no le basta para entrar. Es una de las medidas de seguridad más eficaces y baratas para el correo, la nube y la banca de un negocio.
Qué es la autenticación en dos pasos (2FA)
La autenticación en dos pasos es un sistema de acceso que, después de la contraseña, pide una segunda prueba de que eres tú. Esa segunda prueba no se puede adivinar desde fuera: está en tu móvil (celular), en una llave física o en tu huella.
El nombre cambia de un servicio a otro. Google y Microsoft hablan de «verificación en dos pasos»; otros dicen «autenticación de dos factores», «doble factor» o simplemente 2FA. En el uso diario son lo mismo, aunque el Instituto Nacional de Ciberseguridad de España (INCIBE) distingue los dos términos: hay doble factor cuando las dos pruebas son de naturaleza distinta, y considera más vulnerables los mecanismos de dos pasos cuyo segundo paso es, por ejemplo, un código enviado por SMS. La lección práctica es sencilla: no basta con tener un segundo paso, importa de qué tipo es.
Como recoger una carta certificada
Piensa en cómo se recoge una carta certificada en muchas oficinas de correos. Necesitas dos cosas: el aviso que dejaron en tu buzón y tu documento de identidad.
Si alguien roba el aviso, no puede llevarse la carta, porque su cara no coincide con tu documento. Si alguien tiene una fotocopia de tu documento, tampoco, porque le falta el aviso. Para robarte la carta necesita las dos cosas a la vez, y eso es mucho más difícil que conseguir una sola.
La comparación también enseña los puntos débiles. Si el cartero acepta dejar tus avisos en otra dirección porque alguien se lo pide con un poco de labia, el aviso deja de ser una prueba fiable: es lo que ocurre cuando un delincuente consigue un duplicado de tu tarjeta SIM y recibe tus SMS. Y si alguien monta una ventanilla falsa, con el mismo cartel que la oficina, te pide el aviso y el documento y corre con ellos a la ventanilla de verdad, las dos pruebas no te salvan. Es la versión postal del phishing en tiempo real.
Las tres clases de prueba
Los especialistas agrupan las pruebas de identidad en tres familias. El NIST, el instituto de normalización de Estados Unidos, las resume así en su guía de identidad digital (SP 800-63B-4, en inglés):
- Algo que sabes: una contraseña o un PIN. Puede revelarse o adivinarse.
- Algo que tienes: un móvil, una llave de seguridad, una tarjeta. Puede perderse o robarse.
- Algo que eres: la huella o la cara. Puede imitarse o dar lugar a una coincidencia falsa.
La autenticación en dos pasos combina, idealmente, dos familias distintas. La contraseña y la pregunta secreta sobre el nombre de tu primera mascota son dos pasos, pero de la misma familia: quien consigue una suele poder conseguir la otra.
Cómo funciona, paso a paso
En una cuenta con la verificación en dos pasos activada, el inicio de sesión sigue este orden:
- Escribes tu usuario y tu contraseña, como siempre.
- El servicio comprueba la contraseña y, si es correcta, pide la segunda prueba.
- Aportas la segunda prueba: escribes un código, apruebas una notificación en el móvil o tocas una llave de seguridad.
- El servicio la valida y te deja entrar. Muchos permiten no repetir el segundo paso en un dispositivo de confianza durante un tiempo.
- Si pierdes el segundo factor, entras con un método de reserva: Google, por ejemplo, ofrece códigos alternativos de 8 dígitos para cuando pierdes el teléfono.
La ayuda de Google explica cómo activarla en una cuenta de Google desde el apartado de seguridad, y lista los métodos disponibles.
Qué segundo paso elegir
No todos los métodos ofrecen la misma protección. Esta tabla resume los habituales en servicios de correo, nube y banca, a partir de la guía del NIST y de la documentación de Google (consultadas en octubre de 2026):
| Método | Cómo funciona | Frente al phishing | Cuándo usarlo |
|---|---|---|---|
| SMS o llamada | Recibes un código en tu número de teléfono | Débil: el código se puede reenviar a una web falsa, y el número puede desviarse con un duplicado de SIM | Mejor que nada, si el servicio no ofrece otra cosa |
| Aplicación de códigos | Una app del móvil genera códigos sin conexión que caducan en poco tiempo | El código se puede teclear en una web falsa | Buena opción general, gratuita |
| Notificación en el móvil | Apruebas el acceso tocando un aviso en una app | Se puede aprobar por error o por costumbre | Cómoda, si solo apruebas lo que tú has iniciado |
| Llave de seguridad física | Un pequeño dispositivo que conectas al ordenador (computadora) o al móvil | Resistente: la llave comprueba la dirección real de la web | Cuentas críticas: administración, banca, dominio |
| Llave de acceso (passkey) | El dispositivo confirma con tu huella, tu cara o su bloqueo de pantalla | Resistente: no se puede copiar ni dar a otra persona por error | Cuando el servicio la ofrece |
El NIST califica de «restringido» el uso de la red telefónica, SMS o llamada, para enviar estos códigos, y recomienda vigilar señales como un cambio de SIM o una portabilidad del número. Sobre los códigos de un solo uso, sean por SMS o por aplicación, es tajante: no deben considerarse resistentes al phishing.
Un ejemplo: una agencia de traducción en Santiago de Chile
Una agencia de traducción de cuatro personas en Santiago de Chile trabaja con correo y archivos en la nube, una cuenta en el banco y una tienda online para vender cursos. Durante años, todo se protegía con contraseñas, algunas compartidas por correo entre compañeras.
Al activar la autenticación en dos pasos, la agencia sigue un orden que conviene copiar. Empieza por el correo, porque es la puerta de atrás de todo lo demás: quien controla tu correo puede pedir «he olvidado mi contraseña» en cualquier otro servicio. Sigue con la nube, el banco y el panel de la tienda.
Tropieza con un problema clásico: la cuenta de la tienda era compartida, y con el segundo factor configurado en el móvil de una sola persona, las demás se quedan sin acceso cuando ella no está. La solución es crear una cuenta por persona en lugar de compartir una. Los códigos de recuperación se imprimen y se guardan en un sobre cerrado en la oficina, fuera de cualquier ordenador.
Ideas erróneas y límites
- «Con dos pasos ya no me pueden robar la cuenta». Reduce mucho el riesgo, pero existen webs falsas que piden la contraseña y el código y los usan al instante. En 2023, el INCIBE alertó de una campaña con códigos QR que imitaba el inicio de sesión de Microsoft y podía ser efectiva «incluso utilizando un doble factor de autenticación».
- «Una notificación que no esperaba no tiene importancia». Si recibes un código o una petición de aprobación que no has pedido, alguien conoce probablemente tu contraseña. Recházala y cámbiala.
- «El SMS es igual de seguro que una aplicación». No lo es, aunque sigue siendo mucho mejor que no tener segundo paso.
- «Ahora la contraseña da igual». Sigue contando: es la primera barrera, y debe ser única para cada servicio.
Qué puedes hacer hoy
- Activa la verificación en dos pasos en tu correo principal, antes que en ningún otro servicio.
- Sigue con la nube, el banco y el registro de tu dominio, si tienes web propia.
- Elige una aplicación de códigos, una llave de seguridad o una llave de acceso cuando el servicio lo permita, en lugar del SMS.
- Guarda los códigos de recuperación fuera del móvil, en papel o en un lugar seguro.
- Sustituye las cuentas compartidas por cuentas individuales, cada una con su segundo factor.
La autenticación en dos pasos funciona mejor junto a un gestor que recuerde tus contraseñas y con un poco de práctica para reconocer los correos y mensajes de phishing. Si quieres proteger las cuentas de nube de tu empresa paso a paso, consulta la guía de almacenamiento en la nube para empresas.