La autenticación de dos factores explicada: ¿qué método de 2FA es el más seguro?

¿Qué es la autenticación de dos factores?

La autenticación de dos factores (2FA) es una segunda comprobación, después de la contraseña, que demuestra que realmente es usted quien inicia sesión ^[4]. El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido señala que también se denomina verificación en dos pasos (2SV) o autenticación multifactor (MFA) ^[4]. El segundo paso utiliza algo a lo que solo usted tiene acceso, como su teléfono o una llave de seguridad ^[4].

La MFA combina dos o más tipos distintos de factor: algo que usted sabe (una contraseña o un PIN), algo que tiene (un teléfono o una llave) o algo que es (una huella digital o su rostro) ^[1]. Si un delincuente roba su contraseña, sigue sin poder entrar sin el segundo factor ^[1].

¿La 2FA funciona de verdad?

Sí. Un estudio de Microsoft Research de 2023 sobre cuentas de Azure Active Directory con actividad sospechosa determinó que la MFA reducía el riesgo de compromiso en un 99.22% en el conjunto de la población. En las cuentas cuyas credenciales ya se habían filtrado, la reducción fue del 98.56% ^[8]. Más del 99.99% de las cuentas con MFA activada se mantuvieron seguras durante el periodo del estudio ^[8]. El NCSC afirma que cualquier 2SV es mejor que ninguna, incluso por mensaje de texto ^[4].

La magnitud de los ataques contra contraseñas explica por qué. Microsoft informó haber observado unos 7,000 ataques de contraseñas por segundo en 2024, más del doble que en 2023 ^[11].

¿Qué método de 2FA es el más seguro?

No toda la 2FA es igual de sólida. La CISA, la agencia de ciberseguridad de Estados Unidos, clasifica los métodos de más a menos seguros según su resistencia a los ataques habituales ^[1]:

1. MFA resistente al phishing: FIDO/WebAuthn (llaves de seguridad y passkeys) y tarjetas inteligentes basadas en PKI. La CISA la considera el estándar de referencia ^[1].
2. Códigos de aplicación o push con coincidencia de números: códigos de un solo uso de una aplicación de autenticación o de un token físico, o notificaciones push en las que usted escribe un número que aparece en la pantalla de inicio de sesión ^[1].
3. Push sin coincidencia de números: un simple aviso de “¿Aprobar?”, expuesto al bombardeo de notificaciones push ^[1].
4. Códigos por SMS o por voz: la CISA afirma que solo deberían usarse como último recurso ^[1].

La CISA afirma que FIDO/WebAuthn es la única autenticación resistente al phishing ampliamente disponible ^[1]. Su guía para dispositivos móviles de 2025 insiste en ello: los códigos de las aplicaciones de autenticación son mejores que los SMS, pero siguen siendo vulnerables al phishing, y solo la autenticación FIDO resiste el phishing ^[2]. El NCSC llegó a la misma conclusión en abril de 2026. Consideró que todos los métodos tradicionales de MFA, incluidos los códigos por SMS, los códigos por correo electrónico, los códigos de aplicación y las aprobaciones push, son intrínsecamente vulnerables al phishing ^[5].

¿Qué hace que un método resista el phishing?

El NIST define la resistencia al phishing como la capacidad del protocolo de inicio de sesión para impedir que los secretos se revelen a un sitio impostor sin depender de la atención del usuario ^[3]. Ningún método en el que usted lea un código y lo escriba puede cumplir esa definición, porque podría escribirlo en un sitio falso ^[3]. Los métodos FIDO están vinculados al sitio web auténtico, por lo que un sitio que lo imite no puede usarlos ^[5].

¿Cómo se comparan los principales métodos de 2FA?

La siguiente tabla resume la protección de cada método frente a los principales ataques, según la clasificación de la CISA y las directrices del NIST. La CISA agrupa los ataques en cuatro tipos ^[1]:

• Phishing: una página de inicio de sesión falsa recopila su contraseña y su código de un solo uso ^[1].
• Bombardeo de notificaciones push: un atacante lo inunda con solicitudes de aprobación hasta que usted acepta una ^[1].
• Explotación de SS7: las fallas del sistema de señalización de la red telefónica permiten a los atacantes obtener los códigos enviados por SMS o por llamada de voz ^[1].
• Duplicado de SIM: los delincuentes convencen a un operador móvil de que transfiera su número a una tarjeta SIM de ellos ^[1].

¿Por qué se considera que los códigos por SMS son débiles?

Los códigos por mensaje de texto son la forma más común de 2FA, y el NCSC señala que son la opción predeterminada en la mayoría de los servicios ^[4]. También son los más fáciles de robar.

• Los mensajes no están cifrados. La CISA señala que cualquiera con acceso a la red de un proveedor de telecomunicaciones que intercepte mensajes SMS puede leerlos ^[2].
• Los números pueden secuestrarse. En un duplicado de SIM, los delincuentes se hacen pasar por la víctima, sobornan a un empleado del operador o hackean los sistemas del operador para transferir un número a su SIM ^[6]. A partir de ese momento reciben los mensajes de la víctima, incluidos los códigos de 2FA y los mensajes de restablecimiento de contraseña ^[6].
• Pueden robarse mediante phishing. Como cualquier código que se escribe, un código por SMS puede introducirse en un sitio falso ^[3].

Las pérdidas son reales. El Internet Crime Complaint Center del FBI recibió 320 denuncias por duplicado de SIM entre enero de 2018 y diciembre de 2020, con pérdidas ajustadas de unos $12 millones. Solo en 2021 recibió 1,611 denuncias, con pérdidas de más de $68 millones ^[6].

Las directrices de 2025 del NIST clasifican los códigos por SMS y por voz como un autenticador restringido. Los servicios que los usan deben ofrecer al menos una alternativa no restringida y deberían comprobar señales de riesgo, como un cambio reciente de SIM o una portabilidad del número ^[3]. El NIST también establece que el correo electrónico no debe usarse para la autenticación fuera de banda ^[3]. El NCSC es más permisivo con los particulares: incluye el correo electrónico como posible segundo paso si se trata de una cuenta distinta de la que se usa para restablecer la contraseña ^[4].

¿Debo seguir usando SMS si es la única opción?

Sí. El NCSC afirma que los mensajes de texto no son el tipo de 2SV más seguro, pero siguen siendo una gran mejora frente a una contraseña sola ^[4]. La CISA considera el SMS un último recurso, aunque puede servir como medida temporal ^[1].

¿Cómo funcionan las aplicaciones de autenticación y las notificaciones push?

La mayoría de las aplicaciones de autenticación generan contraseñas de un solo uso basadas en el tiempo (TOTP), definidas en el estándar de internet RFC 6238 ^[7]. Al configurar la aplicación, esta y el servicio comparten una clave secreta. Después, la aplicación combina esa clave con la hora actual para generar un código corto que cambia en cada intervalo de tiempo, de 30 segundos por defecto ^[7]. Como el código se calcula en el teléfono, las aplicaciones de autenticación no necesitan señal móvil ^[4]. Eso las hace útiles donde la cobertura móvil o la entrega de SMS no son fiables.

Las aplicaciones de autenticación resisten el duplicado de SIM y los ataques a SS7 ^[1], y el estudio de Microsoft determinó que las aplicaciones dedicadas, como Microsoft Authenticator, obtuvieron mejores resultados que el SMS ^[8]. Su punto débil es el phishing: un sitio falso puede pedir el código y retransmitirlo al instante ^[1][2].

¿Qué es la coincidencia de números?

La 2FA por notificación push envía una solicitud de aprobación a su teléfono. Sin coincidencia de números, basta con tocar Aceptar, lo que hace posible el bombardeo de notificaciones push. Con coincidencia de números, usted debe escribir en la aplicación un número que aparece en la pantalla de inicio de sesión, lo que añade una comprobación contra las aprobaciones a ciegas ^[1]. La CISA recomienda la coincidencia de números a las organizaciones que todavía no pueden usar MFA resistente al phishing ^[1].

¿Qué papel tienen las llaves de seguridad y las passkeys?

Tanto las llaves de seguridad como las passkeys usan los estándares FIDO y la criptografía de clave pública ^[10]. Una llave de seguridad es un pequeño dispositivo físico que se conecta por USB o NFC. Una passkey puede residir en su teléfono o computadora y se desbloquea con su huella digital, su rostro o un PIN ^[10].

Para las personas con alto riesgo de sufrir ataques dirigidos, la CISA afirma que las llaves de seguridad FIDO físicas son la opción más eficaz cuando sea viable, y que las passkeys FIDO son una alternativa aceptable ^[2]. El NCSC afirma que las passkeys son tan seguras o más que la MFA tradicional frente a todos los ataques habituales contra credenciales que se observan en la práctica ^[5]. Las recomienda como primera opción siempre que los servicios las ofrezcan ^[12].

Una passkey también puede hacer innecesario un segundo paso aparte. En una Cuenta de Google, iniciar sesión con una passkey omite el paso de la Verificación en 2 pasos ^[9]. El NCSC afirma que, cuando el dispositivo verifica al usuario, una credencial FIDO2 es multifactor por sí sola ^[5].

¿Cómo configurar la 2FA de forma segura?

1. Empiece por el correo electrónico. El NCSC aconseja activar la 2SV en las cuentas importantes, sobre todo en el correo electrónico, porque el acceso a su bandeja de entrada puede permitir a los delincuentes restablecer sus demás contraseñas ^[4].
2. Elija el método más seguro que se ofrezca. Prefiera una passkey o una llave de seguridad, después una aplicación de autenticación, y use SMS solo cuando no haya otra opción ^[1][2].
3. Elimine la alternativa más débil. La CISA señala que registrar una aplicación de autenticación no elimina automáticamente el SMS de la cuenta, lo que deja una alternativa débil. Desactive el SMS cuando un método más seguro ya funcione ^[2].
4. Guarde los códigos de respaldo. Conserve los códigos de respaldo de un solo uso en un lugar seguro y genere otros nuevos cuando los haya usado ^[4].
5. Añada un segundo método. El NCSC recomienda una opción de respaldo por si su segundo paso principal no está disponible ^[4].
6. Proteja su número de teléfono. La CISA sugiere configurar un PIN con su operador móvil ^[2]. El FBI aconseja no dar nunca su PIN ni su contraseña a personas que lo llamen sin que usted lo haya solicitado ^[6].
7. No apruebe nunca una solicitud que usted no haya iniciado. Las notificaciones push inesperadas pueden ser un intento de bombardeo de notificaciones ^[1].

Esté atento a las señales de alerta. El FBI afirma que una pérdida repentina de la señal móvil o del servicio de SMS puede indicar un duplicado de SIM. Si eso ocurre, comuníquese de inmediato con su operador y cambie las contraseñas de sus cuentas ^[6].

¿Qué está cambiando en la 2FA?

Las directrices oficiales se están alejando de los códigos y avanzan hacia los métodos resistentes al phishing. Las directrices de 2025 del NIST exigen que los servicios de su nivel de garantía AAL2 ofrezcan al menos una opción resistente al phishing ^[3]. El NIST también señala que podría ajustar la condición de restringidos de los códigos por red telefónica a medida que cambien las amenazas ^[3]. En abril de 2026, el NCSC afirmó que recomendaría las passkeys siempre que un servicio las admita, y la 2SV cuando no las admita ^[5].

Para la mayoría de las personas, el camino práctico a 3 de noviembre de 2026 tiene tres pasos. Active la 2FA en todos los servicios que la ofrezcan. Sustituya el SMS por una aplicación de autenticación siempre que pueda. Después, traslade sus cuentas más importantes a passkeys o a una llave de seguridad. Cada paso cierra una clase de ataque que el método más débil deja abierta ^[1][5].