Las brechas de datos y el robo de credenciales son la puerta de entrada habitual. Contraseñas de foros viejos, de redes sociales, de tiendas online. Un atacante las prueba en masa contra Gmail, Outlook o tu banco. Si tu contraseña es lo único que protege tu cuenta, esa prueba automática acaba en entrada directa. La verificación en dos pasos existe precisamente para romper esa cadena: aunque la contraseña se filtre, por sí sola ya no da acceso a la cuenta.
En este artículo:
El dato es contundente. Microsoft documentó en 2020, a partir del análisis de cuentas empresariales comprometidas, que más del 99,9 % no tenían autenticación multifactor activada. En España, fuentes del sector de la ciberseguridad estiman que apenas un tercio de los usuarios la tiene activada en sus cuentas principales: una adopción baja para la medida que más protege con menos esfuerzo.
Qué es la verificación en dos pasos
La verificación en dos pasos, también llamada 2FA o autenticación de doble factor, exige dos pruebas distintas de identidad antes de abrir una cuenta. La primera es algo que sabes: tu contraseña. La segunda es algo que tienes, como tu móvil o una llave física, o algo que eres, como tu huella dactilar. El punto clave es que las dos pruebas pertenecen a categorías diferentes.
El razonamiento detrás del sistema es simple. Un atacante puede conseguir tu contraseña de muchas formas: una filtración de datos, un phishing, una contraseña reutilizada. Conseguir además tu teléfono físico o tu huella es mucho más difícil. Por eso, con el segundo factor activo, una contraseña filtrada deja de ser un problema directo: el ladrón se queda a las puertas.
En la práctica, el proceso es familiar. Introduces tu usuario y contraseña como siempre. Después, el servicio pide un segundo paso: un código de seis dígitos, una notificación que aceptas o el toque de una llave de seguridad. Solo entonces entras. Cuando el sistema acepta dos o más tipos de prueba se habla de MFA, autenticación multifactor, aunque para el usuario doméstico ambos términos significan prácticamente lo mismo.
Hay un matiz importante con las passkeys. Estos sustitutos criptográficos de la contraseña, basados en el estándar FIDO2, ya incluyen la posesión del dispositivo en el propio inicio de sesión. Al entrar con una passkey no se pide un segundo factor aparte, porque la demostración de que llevas el dispositivo contigo ya es la prueba. La 2FA clásica es el refuerzo para las cuentas que siguen usando contraseña.
Por qué ahora
La industria está girando de forma visible hacia métodos que resisten el phishing. Microsoft anunció que desde el 1 de septiembre de 2026 las passkeys son la experiencia de inicio de sesión por defecto en Microsoft Entra ID. Además, en Microsoft Entra ID (las cuentas de trabajo y centro educativo) la telefonía de Microsoft para SMS y voz se retirará el 1 de febrero de 2027 para la mayoría de usuarios, y el 1 de julio de 2027 para los administradores globales y los usuarios externos. Las organizaciones que necesiten mantenerlo podrán contratar un proveedor de telefonía propio. El mensaje corporativo es claro: el SMS deja de considerarse un método de autenticación seguro.
Una nota sobre estas fechas. Corresponden al calendario oficial de Microsoft para Entra ID y pueden cambiar según la disponibilidad del servicio. Antes de tomar una decisión sobre tu cuenta, comprueba las vigentes en la documentación oficial de Microsoft.
La adopción de passkeys está despegando. El informe State of Passkeys 2026 de la FIDO Alliance estima unos 5.000 millones de passkeys en uso activo. Según ese mismo informe, el 75 % de los consumidores ya ha activado una en al menos una cuenta. El estudio se basó en 11.000 encuestas a consumidores y 1.400 a responsables empresariales en diez países, realizadas en abril de 2026.
El sector también empuja con la norma. La cuarta revisión de la guía digital de identidades del NIST, la SP 800-63B-4, se publicó en julio de 2025. Clasifica los códigos de un solo uso por SMS como autenticador restringido, una categoría que el estándar ya mantenía desde su revisión anterior de 2017 (la SP 800-63B-3) y que esta revisión formaliza. Y en el terreno de las plataformas, GitHub aplica su programa de 2FA obligatoria por grupos de contribuidores: desde el 2 de septiembre de 2026, los usuarios inscritos en esos grupos ya no pueden desactivarla, y quien lo haga verá restringido su acceso hasta que la vuelva a activar.
Hay otro motivo de fondo: los ataques han aprendido a rodear la 2FA mal configurada. Los kits de phishing del tipo adversary-in-the-middle, como Tycoon2FA o EvilProxy, presentan al usuario la página de inicio real. Capturan la sesión completa, token incluido, justo después de que la víctima complete su segundo factor. Ningún segundo factor evita eso por sí solo. Lo que resiste ese tipo de ataque son los métodos resistentes al phishing: passkeys y llaves físicas FIDO2. El SMS ni siquiera resiste el más básico: el robo del número de teléfono.
Los métodos de segundo factor, de menos a más seguro
No todos los segundos factores protegen igual. Estos son los habituales, ordenados por nivel de protección. Si quieres ir un paso más allá, en el sitio tenemos la guía completa de passkeys: cómo activarlas y no perder tus cuentas.
Código por SMS. Un mensaje de texto con un código temporal. Es el método más cómodo y universal, porque no exige instalar nada. También es el más débil. Los códigos viajan en texto plano por la red de la operadora y pueden interceptarse mediante fallos en el sistema de señalización SS7. El riesgo mayor es el SIM swapping: un estafador convence a la operadora de que transfiera tu número a su tarjeta, usando datos personales robados. A partir de ahí, recibe tus códigos y restablece tus contraseñas. Mejor que nada, pero solo si no hay alternativa.
App autenticadora (TOTP). Una aplicación genera un código de seis dígitos que cambia cada 30 segundos. El sistema, definido en el estándar RFC 6238, calcula el código de forma local a partir de una clave secreta compartida al escanear un código QR. El código se calcula en tu dispositivo y no viaja por la red, lo que lo libera de la interceptación de SMS y del SIM swapping. Ojo con una limitación: no es resistente al phishing en tiempo real, porque los kits adversary-in-the-middle pueden capturarte el código al teclearlo en una página falsa. Aun así, es la recomendación general para casi cualquier cuenta: gratis, funciona sin conexión y aporta protección alta. Google Authenticator añadió en abril de 2023 la sincronización en la nube de sus códigos, lo que resolvió el gran problema de perderlos con el móvil. Tiene su premio: la copia de esos códigos vive en tu cuenta de Google, así que esa cuenta es ahora tan crítica como el correo y merece su propio segundo factor.
Notificación push. El servicio envía una notificación al móvil para aprobar o rechazar el acceso con un toque. Es cómoda, pero tiene una trampa conocida: los ataques de fatiga de MFA. Un atacante que ya tiene tu contraseña inunda tu móvil de notificaciones a deshoras hasta que, agotado, apruebas una por error. Le ocurrió a un contratista de Uber en 2022, y el incidente terminó con acceso a los sistemas internos de la empresa. La defensa moderna frente a esto es el number matching: en lugar de un simple aprobar, la pantalla muestra un número que debes teclear en la app. Microsoft ya aplica esta medida en todas las notificaciones push de Authenticator, con una excepción: en relojes y pulseras el número no cabe, así que la aprobación se hace desde el móvil.
Llave física y passkeys. Una llave de seguridad USB como YubiKey, o una passkey guardada en tu dispositivo, ofrece la máxima protección. Son resistentes al phishing por diseño: la credencial está criptográficamente atada al dominio del servicio y no sirve en un dominio falso. No es una inmunidad absoluta, porque la sesión ya iniciada, el robo del dispositivo y una recuperación de cuenta floja siguen siendo puertas abiertas. Resérvala para lo que no puede fallar: el correo principal, la banca y el gestor de contraseñas.
Un orden simple: si una cuenta te deja elegir, pasa de SMS a app autenticadora. Y donde esté en juego lo más importante, una passkey o una llave física.
Cómo activarla paso a paso
El proceso es sorprendentemente parecido en casi todos los servicios. La ruta general tiene cinco pasos.
1. Empieza por el correo. La cuenta de email es el eslabón más crítico de tu identidad digital: es donde llega el código de verificación y, al mismo tiempo, la vía por la que se restablece la contraseña de cualquier otra cuenta. Si pierdes el acceso al correo no solo entras sin segundo factor: te quedas fuera también de la recuperación de todo lo demás. Activa ahí la verificación en dos pasos antes que en ningún otro sitio y ten siempre una vía de recuperación alternativa, unos códigos de respaldo o una cuenta secundaria que controles tú, por si el correo deja de estar disponible. En Google, por ejemplo, la ruta es Seguridad e inicio de sesión y después Activar verificación en dos pasos.
2. Elige el método más fuerte disponible. Si el servicio ofrece app autenticadora, úsala en lugar del SMS. Descarga una app como Google Authenticator, Microsoft Authenticator o 2FAS, y escanea el código QR que muestra el servicio. Los códigos empiezan a rotar cada 30 segundos.
3. Guarda los códigos de respaldo. Es el paso que casi todo el mundo se salta y el que evita el peor susto. La mayoría de servicios entregan una lista de códigos de recuperación de un solo uso al activar la 2FA. El respaldo clásico sigue siendo el papel, y le van bien un USB o un gestor de contraseñas cifrado. Lo importante es que el respaldo no dependa del correo ni de las notas del móvil: ese es justamente el sitio que puede verse comprometido. NordPass y otras guías de seguridad coinciden en el consejo: los códigos de recuperación, fuera del alcance del servicio que protegen.
4. Añade un método de respaldo adicional. Si tu único segundo factor es el móvil y lo pierdes, te quedas fuera. Configura un segundo método: primero una passkey más en otro dispositivo, después otro autenticador. El número de teléfono alternativo es el último recurso, y solo si no tienes otra cosa: un SMS es exactamente lo que ataca el SIM swapping. Google tarda hasta 7 días en confiar plenamente en un número de teléfono nuevo, algo que conviene tener en cuenta antes de cambiar de móvil.
5. Repasa las cuentas críticas. Banca, gestor de contraseñas, redes sociales principales y, en el trabajo, las cuentas corporativas. Muchas plataformas ya lo exigen: GitHub lleva años aplicando la obligatoriedad por grupos de contribuidores, y desde el 2 de septiembre de 2026 ya no se puede desactivar en los grupos inscritos. WhatsApp permite fijar un PIN de verificación en dos pasos desde su propio menú de cuenta.
El proceso completo suele llevar menos de diez minutos por cuenta. Los segundos extra en cada inicio de sesión son el precio bajo de mantener la puerta cerrada.
Errores comunes que dejan la 2FA inútil
Activar la verificación en dos pasos sin pensar los detalles puede dar una falsa sensación de seguridad. Estos son los fallos más habituales.
Confiar solo en el SMS. Es el error más extendido. El SIM swapping convierte un SMS en una puerta abierta. Los organismos públicos ya lo advierten: en la misma línea que INCIBE y otros organismos, conviene evitar el SMS como único método en cuentas críticas. Si tu banco o tu correo solo ofrecen SMS, mantenlo, pero donde haya app autenticadora, cámbiate.
No guardar los códigos de respaldo. Quien pierde el móvil sin códigos de recuperación se enfrenta a procesos de recuperación largos y, a veces, imposibles. Los códigos impresos o en USB resuelven el problema en segundos.
Aprobar notificaciones por inercia. La fatiga de MFA funciona porque un toque reflexivo basta. La regla es simple: si tú no has iniciado sesión, la respuesta es siempre no. Y si las notificaciones se repiten, cambia la contraseña y revisa los dispositivos conectados.
Guardar los códigos donde está la cuenta. Guardarlos en el correo que protegen no es un respaldo: es dejar la llave bajo el felpudo. El lugar del respaldo debe ser independiente de lo que protege.
Olvidar actualizar el segundo factor al cambiar de móvil. Al cambiar de dispositivo hay dos tareas: transferir las cuentas del autenticador al nuevo y desvincular el viejo. Esto evita quedarte fuera y evita dejar el acceso activo en manos de un tercero.
Qué viene después
La dirección del sector es clara. Microsoft pone las passkeys por defecto en 2026 y retira su telefonía SMS y de voz durante 2027. La FIDO Alliance estima 5.000 millones de passkeys activas. Según su Passkey Index de octubre de 2025, los inicios de sesión con passkeys tienen una tasa de éxito del 93 %, frente al 63 % de los métodos tradicionales. NIST degrada el SMS a autenticador restringido. Y plataformas como GitHub ya hacen la 2FA obligatoria en sus grupos de contribuidores. Si el paso siguiente te convence, la guía de passkeys cubre el método que lo sustituye todo.
Para el usuario, la lectura práctica es directa. El primer paso es activar la verificación en dos pasos donde aún no la haya. El segundo es preferir métodos resistentes al phishing: app autenticadora antes que SMS, y passkey o llave física en lo más crítico. La contraseña sola ya no sostiene una cuenta; el segundo factor dejó de ser opcional para convertirse en la línea base de la seguridad digital.
Preguntas frecuentes
¿Qué es la verificación en dos pasos (2FA)?
Es un sistema que exige dos pruebas distintas de identidad antes de abrir una cuenta: tu contraseña (algo que sabes) y un segundo factor como tu móvil, una llave física o tu huella dactilar (algo que tienes o algo que eres). Lo que importa es que las dos pruebas sean de categorías distintas: así, la contraseña filtrada deja de bastar.
¿Es seguro usar el SMS como segundo factor?
El más cómodo, pero también el más débil: los mensajes pueden interceptarse por fallos del sistema SS7 y el número puede ser secuestrado con un SIM swapping. Mejor que nada; con app autenticadora disponible, la elección está clara.
¿Qué debo hacer con los códigos de respaldo al activar la 2FA?
Guárdalos fuera del alcance del servicio que protegen: impresos en papel, en una unidad USB o en un gestor de contraseñas cifrado. Ni notas del móvil ni el correo, que es justamente lo primero que puede verse comprometido.
¿Cuál es el método de segundo factor más seguro?
Una llave física tipo YubiKey o una passkey en tu dispositivo dan la protección máxima: la credencial está atada criptográficamente al dominio del servicio, así que el phishing no encuentra por dónde entrar. Resérvalas para lo que más importa.
¿Qué pasa si pierdo el móvil que uso como segundo factor?
Sin códigos de recuperación te enfrentarías a procesos largos y, a veces, imposibles. Por eso conviene guardar los códigos de respaldo fuera de línea y configurar un método adicional, como otro dispositivo o una passkey. Google, por su parte, tarda hasta una semana en dar por bueno un número de teléfono recién añadido: piénsalo antes de cambiar de móvil.
¿Puedo tener la verificación en dos pasos en dos dispositivos a la vez?
Sí, y conviene por si pierdes uno. Google Authenticator sincroniza los códigos automáticamente con el nuevo dispositivo cuando inicias sesión en tu cuenta de Google allí, y sin cuenta de Google puedes moverlos a mano con Transferir cuentas, Exportar cuentas e Importar cuentas. Ten en cuenta que, si eliges usar Authenticator sin cuenta de Google, los códigos quedan solo en ese dispositivo y no estarán disponibles en los demás.
¿La verificación en dos pasos protege si me roban la sesión?
Solo mientras te autenticas. Una vez que inicias sesión, el servicio guarda esa sesión en el navegador, así que un atacante que se la robe puede operar sin volver a pasar por tu segundo factor, y cambiar la contraseña no siempre cierra las sesiones ya abiertas. Por eso conviene revisar la actividad de la cuenta y cerrar las sesiones ajenas cada vez que notes un acceso que no es tuyo.
Resumen práctico
- Activa la verificación en dos pasos primero en tu cuenta de correo: es el eslabón crítico del que dependen la verificación y la recuperación de las demás cuentas.
- Elige app autenticadora (TOTP) antes que SMS; el código se genera en tu móvil y no viaja por la red, aunque sigue siendo vulnerable al phishing en tiempo real.
- Guarda los códigos de recuperación lejos del servicio que protegen: papel, USB o gestor de contraseñas cifrado. Nunca en el correo ni en notas del móvil.
- Configura un segundo método de respaldo por si pierdes el dispositivo principal.
- Acepta una notificación push solo si tú has iniciado el proceso; ante una lluvia de notificaciones, la respuesta es no.
- En lo que de verdad importa (correo principal, banca, gestor), pásate a passkey o llave física: el phishing no encuentra por dónde entrar.
- Al cambiar de móvil, transfiere las cuentas del autenticador y desvincula el dispositivo viejo.
Referencias externas:
- Activar la verificación en dos pasos — Google Account Help
- Passkeys by default and retirement of Microsoft-provided SMS and voice authentication — Microsoft Learn
- NIST SP 800-63B-4: Digital Identity Guidelines — NIST CSRC
- The State of Passkeys 2026 — FIDO Alliance
- Qué es el SIM swapping y cómo evitarlo — Trend Micro
- ¿Qué es la fatiga de MFA (push bombing)? — PowerDMARC
- How number matching works in MFA push notifications — Microsoft Learn
- Google Authenticator now supports cloud backup — Google Security Blog
- ¿Perdió su dispositivo 2FA? Qué hacer — NordPass
- Autenticación en dos pasos 2026: guía completa — CyberSecMálaga (datos INCIBE/CCN-CERT)
Una respuesta
parce, qué tema tan bueno. la vdd yo pensaba que el SMS era lo menos seguro de todos los métodos y resulta que las llaves físicas son las más blindadas, me dejo full sorprendido con la comparación. active 2FA en el correo y el banco de una y les comparto el post a mis parceros que la mayoría anda con solo contraseñas