Pasar de la 2FA por SMS a una passkey en cualquier cuenta

¿Por qué pasar ahora de la 2FA por SMS a una passkey?

Los códigos SMS pueden interceptarse dentro de las redes telefónicas, mientras que una passkey está diseñada para resistir el phishing, y los grandes proveedores se están alejando del SMS: Microsoft elimina sus propios códigos por SMS y llamada de voz para la mayoría de las cuentas de trabajo y educativas a partir del 1 de febrero de 2027 ^[1][8].

El riesgo no es teórico. La empresa de seguridad móvil Enea informó el 11 de noviembre de 2026 de que un actor recién identificado al que llama SilentAir usó solicitudes maliciosas de actualización de ubicación en redes móviles para interceptar SMS y llamadas, con elementos de red relacionados con SilentAir encontrados en al menos seis países asiáticos, y de que algunos objetivos recibieron códigos 2FA inmediatamente después de la interceptación ^[11]. La historia completa está en la guía de Pouyam Is SMS 2FA Safe? What the SilentAir Attacks Show.

Las guías oficiales apuntan en la misma dirección. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) dijo en diciembre de 2024 a personas muy expuestas a ataques dirigidos: «No uses el SMS como segundo factor», y situó las llaves de seguridad FIDO y las passkeys por encima de las apps de autenticación ^[9]. El organismo de normas de EE. UU., NIST, clasifica los códigos por SMS y llamada de voz como un autenticador «restringido» para el que los servicios deben ofrecer una alternativa ^[10].

Una passkey funciona de otra manera. Es un par de claves criptográficas guardado en tu teléfono, ordenador o llave de seguridad, que se desbloquea con tu cara, tu huella o el PIN de pantalla, y la FIDO Alliance la describe como resistente al phishing ^[8]. No hay ningún código que leer en voz alta ni reenviar, y Google dice que las passkeys son «más seguras frente al phishing» que las contraseñas ^[2]. Para comparar todos los métodos uno al lado del otro, consulta Two-Factor Authentication Explained: Which 2FA Method Is Safest?

¿Cómo paso cualquier cuenta de la 2FA por SMS a una passkey?

El orden seguro es el mismo en cada cuenta: comprueba si admite passkeys, crea una passkey, añade una segunda forma de iniciar sesión, guarda los códigos de respaldo y luego quita el número de teléfono como segundo paso y haz una prueba ^[2][3][12]. Saltarse el paso del respaldo es la causa más común de quedarse fuera de la cuenta.

1. Comprueba la compatibilidad. Abre los ajustes de seguridad o de inicio de sesión de la cuenta y busca «Passkeys». El directorio comunitario passkeys.directory, gestionado por 1Password, enumera los sitios que ofrecen passkeys para iniciar sesión o como segundo factor ^[12].
2. Crea la passkey en el dispositivo que más usas y confírmala con tu cara, tu huella o el bloqueo de pantalla ^[2][4].
3. Añade un respaldo. Crea una segunda passkey en otro dispositivo o en una llave de seguridad física, o configura una app de autenticación. Las passkeys pueden sincronizarse de forma segura entre tus dispositivos o quedarse ligadas a uno solo ^[8].
4. Guarda los códigos de recuperación si el servicio los ofrece y guárdalos sin conexión. Google, por ejemplo, ofrece códigos de respaldo imprimibles para usarlos si pierdes el teléfono ^[3].
5. Quita el SMS como segundo paso. CISA aconseja desactivar el SMS una vez registrado un método más fuerte, porque una vía alternativa débil anula la mejora ^[9].
6. Haz una prueba: cierra sesión y vuelve a entrar con la passkey antes de cerrar la página de ajustes.

Algunos servicios conservan tu número de teléfono para recuperar la cuenta incluso después de desactivar los códigos de inicio de sesión por SMS ^[9]. No es motivo para aplazar el cambio, pero sí para proteger tu línea móvil con un PIN del operador o un bloqueo de portabilidad cuando sea posible. Para saber cómo funcionan las passkeys, consulta What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

¿Cómo paso mi cuenta de Google a una passkey?

Crea una passkey en los ajustes de seguridad de tu cuenta de Google, luego abre la 2-Step Verification y quita tú mismo el número de teléfono, porque añadir una passkey no cambia ni elimina ningún método de inicio de sesión o recuperación existente ^[2]. Google dice que, en las cuentas con 2-Step Verification, iniciar sesión con una passkey se salta el segundo paso, ya que la passkey confirma que controlas el dispositivo ^[2].

1. Ve a tu cuenta de Google, toca Security & sign-in y, en How you sign in to Google, abre Passkeys and security keys para crear una passkey ^[2].
2. Confirma con tu huella, un escaneo facial o el bloqueo de pantalla. Google admite passkeys en Windows 10, macOS Ventura y ChromeOS 109 o posterior, Android 9 e iOS 16 o posterior, y en llaves de seguridad físicas FIDO2 ^[2].
3. Crea una segunda passkey en otro dispositivo o añade una llave de seguridad para no depender de un solo teléfono.
4. Abre la 2-Step Verification en Security. Descarga o imprime tus códigos de respaldo; Google los describe como códigos de 8 dígitos para usar si pierdes el teléfono ^[3].
5. Quita el número de teléfono registrado como método de 2-Step Verification, o cámbialo por la notificación de Google o una app de autenticación.

Hay dos detalles importantes. Primero, Google puede tardar hasta siete días en confiar en un número de teléfono nuevo añadido para la 2-Step Verification; una passkey o una llave de seguridad de confianza puede acelerarlo ^[3]. Google también recuerda crear passkeys solo en dispositivos que te pertenezcan, porque cualquiera que pueda desbloquear el dispositivo puede iniciar sesión ^[2]. Segundo, en una cuenta de Google Workspace del trabajo o de un centro educativo, tu administrador decide si puedes iniciar sesión solo con passkey; aun así puedes crear passkeys como segundo factor y opción de recuperación ^[2].

¿Cómo añado una passkey a una cuenta de Microsoft?

Inicia sesión en Advanced Security Options en account.live.com/proofs/manage, elige Add a new way to sign in or verify y luego Face, Fingerprint, PIN o Security Key ^[4]. Esta página cubre las cuentas personales de Microsoft ^[4].

1. Abre account.live.com/proofs/manage en el dispositivo donde quieres la passkey e inicia sesión ^[4].
2. Elige Add a new way to sign in or verify ^[4].
3. Elige Face, Fingerprint, PIN o Security Key y sigue las indicaciones ^[4].
4. Elige Continue o Create para guardar la passkey en la ubicación sugerida, o Save another way para elegir un teléfono o una llave de seguridad ^[4].
5. Configura una app de autenticación, en la que se apoyan los pasos sin contraseña de Microsoft, antes de quitar nada ^[5].

Microsoft permite que las cuentas personales vayan un paso más allá y eliminen la contraseña. En Additional security options, elige Turn on junto a Passwordless account y aprueba la solicitud en tu app de autenticación ^[5]. Microsoft señala que debes tener acceso a dos métodos de recuperación cuando la verificación en dos pasos está activada ^[5].

Para dejar de recibir códigos SMS, revisa en la misma sección de seguridad la lista de formas de demostrar tu identidad y quita el número de teléfono como método de inicio de sesión cuando la passkey y la app funcionen. Microsoft dice que, si cambias de teléfono, quites los métodos ligados al dispositivo antiguo ^[5].

¿Microsoft acaba con los códigos SMS en las cuentas de trabajo?

Sí, para los códigos que envía la propia Microsoft: a partir del 1 de febrero de 2027, la autenticación por SMS y voz proporcionada por Microsoft se elimina en Microsoft Entra ID, el servicio de inicio de sesión de Microsoft para organizaciones, para todos los usuarios salvo los Global Administrators y los usuarios externos ^[1]. Esos dos grupos seguirán el 1 de julio de 2027 ^[1].

El cambio ya empezó. Desde el 1 de septiembre de 2026, las passkeys pasaron a ser la experiencia de autenticación predeterminada en Entra ID y se activaron automáticamente para los usuarios con SMS o llamada de voz habilitados, a quienes se les pide registrar una passkey al iniciar sesión ^[1]. La página de Microsoft dice que el SMS y la llamada de voz «ya no se presentan como métodos de autenticación seguros» ^[1].

Lo que significa para ti:

• Si tu cuenta de trabajo te pide configurar una passkey, acepta: el plan de Microsoft anima a los usuarios a registrar una passkey cuando inician sesión y completan la MFA ^[1]. Actúa solo ante un aviso que aparezca dentro de la página de inicio de sesión normal de Microsoft.
• Según la configuración de tu organización, una passkey puede guardarse en Microsoft Authenticator, una llave de seguridad FIDO2, Windows o un gestor de credenciales sincronizado ^[1].
• Los usuarios invitados internos siguen la fecha del 1 de febrero de 2027, no la posterior ^[1].
• Las dudas sobre qué métodos están permitidos corresponden a tu departamento de TI, que gestiona la política.

Nunca apruebes una solicitud de inicio de sesión o de passkey que no hayas iniciado tú, y nunca configures una passkey desde un enlace de un correo o mensaje inesperado.

¿Puedo usar una passkey para mi cuenta de Apple?

No como segundo factor: las cuentas de Apple usan un código de verificación de seis dígitos para la autenticación de doble factor, y la mejora resistente al phishing que ofrece Apple son llaves de seguridad FIDO físicas, no passkeys ^[7]. La página de Apple sobre esta función no menciona las passkeys ^[7].

Los requisitos de Apple para Security Keys for Apple Account son claros ^[7]:

• Al menos dos llaves de seguridad FIDO Certified; puedes añadir hasta seis ^[7].
• iOS 16.3, iPadOS 16.3 o macOS Ventura 13.2 o posterior en cada dispositivo con sesión iniciada en tu cuenta de Apple ^[7].
• La autenticación de doble factor ya debe estar activada ^[7].
• No se admiten cuentas infantiles ni Managed Apple Accounts ^[7].

En el iPhone, abre Settings, toca tu nombre y luego Sign-in & Security, Two-Factor Authentication y Security Keys, y sigue los pasos ^[7]. Apple advierte que los dispositivos inactivos (los que no se han usado en más de 90 días) cerrarán sesión durante la configuración y que podrías perder para siempre el acceso a tu cuenta si pierdes todos tus dispositivos de confianza y llaves de seguridad ^[7]. Si quitas todas las llaves, la cuenta vuelve a los códigos de seis dígitos ^[7].

Apple describe las llaves de seguridad como pensadas para quienes quieren una protección adicional frente a ataques dirigidos como el phishing o las estafas de ingeniería social ^[7].

¿Cómo configuro una passkey en WhatsApp?

En WhatsApp, abre Settings, toca Account y luego Passkeys, Create passkey y Continue, y confirma con el bloqueo de pantalla ^[6]. WhatsApp dice que, a diferencia de las contraseñas o los códigos de verificación por SMS, las passkeys están protegidas criptográficamente y solo se puede acceder a ellas con tu dispositivo físico y tus datos biométricos o el bloqueo de pantalla ^[6].

1. En Android necesitas Android 9 o posterior, un bloqueo de pantalla y una cuenta de gestor de contraseñas vinculada al teléfono, como Google Password Manager o Samsung Password Manager ^[6].
2. Abre WhatsApp, toca el menú y luego Settings ^[6].
3. Toca Account, Passkeys, Create passkey y después Continue ^[6].
4. Confirma con tu huella, tu cara o el bloqueo de pantalla cuando se te pida ^[6].

WhatsApp indica que, después de crear una passkey, si reinstalas la app es posible que se te pida usarla durante el registro ^[6]. Para cambiar de passkey, bórrala y crea una nueva desde el mismo menú ^[6].

La página de WhatsApp no dice que una passkey sustituya al código SMS en el registro, así que trátala como una capa añadida. Mantén también el PIN de la verificación en dos pasos, para que quien secuestre tu número siga necesitando algo que solo tú sabes.

¿Qué cuentas admiten passkeys en lugar de SMS?

Google, Microsoft y WhatsApp ofrecen las passkeys como una opción más fuerte que los códigos SMS, las cuentas de Apple usan en cambio llaves de seguridad, y muchos servicios más pequeños todavía solo ofrecen SMS o una app de autenticación ^[2][4][6][7]. La tabla de abajo resume dónde está el ajuste en cada uno a 15 de noviembre de 2026.

La compatibilidad cambia a menudo; revisa la página de seguridad de cada servicio antes de empezar. El directorio passkeys.directory enumera los servicios que admiten passkeys para iniciar sesión o como segundo factor ^[12].

Da prioridad a las cuentas que abren todo lo demás: tu correo principal, la cuenta en la nube de tu teléfono (Google o Apple), tu gestor de contraseñas, y tus cuentas bancarias y de trabajo. Si cae tu correo, un atacante puede restablecer la mayoría de tus otras contraseñas.

¿Qué hago si una cuenta no admite passkeys?

Usa una app de autenticación en lugar del SMS y desactiva el SMS como método alternativo cuando la app funcione ^[9]. CISA sitúa las apps de autenticación por debajo de las llaves FIDO y las passkeys, porque sus códigos aún pueden robarse con phishing, pero dice que son mejores que el SMS, que no está cifrado y puede leerse si se intercepta en la red de un proveedor ^[9]. La interceptación mediante señalización de telecomunicaciones, el método que Enea describe para SilentAir ^[11], apunta a los mensajes enviados por la red telefónica, y los códigos generados dentro de una app no lo son.

• Elige una app de autenticación que pueda hacer copia de seguridad de los códigos o pasarlos a un teléfono nuevo, para que perder el teléfono no te deje fuera.
• Guarda en papel los códigos de recuperación del servicio.
• Nunca leas un código a quien te llame o te escriba, aunque diga ser el soporte del servicio.
• Vuelve a comprobarlo dentro de unos meses: la compatibilidad con passkeys se extiende rápido, y el abandono del SMS por parte de Microsoft en las cuentas de trabajo marca la dirección ^[1].

Si un banco o un servicio público solo ofrece SMS, no puedes cambiarlo tú, pero sí reducir el riesgo: protege tu línea móvil con un PIN del operador, mantén en secreto el PIN del buzón de voz y vigila una pérdida repentina de señal, que puede indicar un cambio de SIM (SIM swap). Esta es una guía general de seguridad; las páginas de ayuda de cada servicio son la referencia final sobre sus ajustes.