Verificación en dos pasos
Resumen
La verificación en dos pasos (Two-Factor Authentication, 2FA) es una medida de seguridad que, al iniciar sesión, pide además de la contraseña otro factor de autenticación. Al combinar «algo que sabes (la contraseña)» con «algo que tienes (el móvil)» o «algo que eres (la huella dactilar)», se acerca a un estado en el que un tercero no puede iniciar sesión solo porque se haya filtrado la contraseña.
Los principales métodos de autenticación
Hay varios métodos de verificación en dos pasos. La autenticación por SMS es un método en el que se introduce un código de 6 dígitos enviado al número de teléfono registrado. Sin embargo, tiene el riesgo de que la rompan con un ataque de intercambio de SIM (un método que consiste en engañar a la compañía telefónica para que emita de nuevo la tarjeta SIM).
Las aplicaciones de autenticación (Google Authenticator, Authy, etc.) son un método que genera contraseñas de un solo uso que cambian cada 30 segundos, y les afecta menos el intercambio de SIM mencionado antes. FIDO2/WebAuthn es un método que usa criptografía de clave pública y se autentica con una clave privada guardada dentro del dispositivo o de una llave de seguridad (YubiKey, etc.). La autenticación por huella dactilar o por reconocimiento facial se usa para confirmar la identidad antes de usar esa clave privada. Como la autenticación queda vinculada al dominio, se considera resistente al phishing. Las llaves de acceso (Passkey) se basan en esta tecnología, y las impulsan Apple, Google y Microsoft.
Por qué hace falta la verificación en dos pasos
Hay 3 razones por las que la autenticación solo con contraseña es peligrosa. La primera es que a veces se reutiliza la misma contraseña en varios servicios. Si se filtra la contraseña de un servicio, es posible que caigan uno tras otro los demás servicios en los que se usa la misma contraseña. La segunda es el riesgo de introducir la contraseña en un sitio de phishing. La tercera es que las contraseñas sencillas se descifran con facilidad mediante ataques de fuerza bruta.
Si activas la verificación en dos pasos, aunque se filtre la contraseña, el atacante no puede iniciar sesión a menos que tenga el otro factor de autenticación (el móvil o la huella dactilar). La verificación en dos pasos por sí sola no evita todos los ataques, pero, comparada con usar solo la contraseña, aumenta el trabajo necesario para romperla.
Las cuentas de redes sociales y la verificación en dos pasos
En la cuenta de redes sociales con la que llevas un buzón de preguntas, deberías configurar siempre la verificación en dos pasos. Si roban la cuenta del dueño del buzón, es posible que todas las preguntas y respuestas pasadas se alteren o se borren. También afecta a la relación de confianza con los seguidores.
Muchas de las principales redes sociales, como X, Instagram o TikTok, admiten la verificación en dos pasos (en agosto de 2026). Se configura desde la pantalla de ajustes de seguridad de cada una de las redes sociales. Se recomienda elegir el método de la aplicación de autenticación y guardar los códigos de respaldo en un lugar seguro. Si pierdes el móvil y no tienes los códigos de respaldo, no podrás entrar en la cuenta, así que no te saltes este paso.