Verificación en Dos Pasos (MFA): Qué es y Cómo Activarla

Si solo pudieras aplicar una medida de seguridad este mes, debería ser esta. La verificación en dos pasos impide que alguien entre en tus cuentas aunque tenga tu contraseña.

¿Qué es la verificación en dos pasos?

La verificación en dos pasos, autenticación de doble factor (2FA) o autenticación multifactor (MFA) añade una comprobación extra al iniciar sesión. Además de algo que sabes (la contraseña), se pide algo que tienes (tu móvil o una llave física) o algo que eres (tu huella o tu cara).

Así, aunque un atacante consiga tu contraseña con un correo de phishing o una filtración, no puede entrar sin ese segundo factor.

¿Funciona de verdad?

Sí. Microsoft ha afirmado en varias ocasiones que la autenticación multifactor bloquea más del 99% de los ataques automatizados contra cuentas. Es, con diferencia, la medida con mejor relación entre coste y protección.

Tipos de segundo factor, del menos al más seguro

Código por SMS

Mejor que nada, pero es el más débil: los SMS pueden interceptarse y existen fraudes de duplicado de tarjeta SIM. Úsalo solo si no hay otra opción.

App de autenticación

Aplicaciones como Google Authenticator, Microsoft Authenticator o alternativas de código abierto generan un código que cambia cada 30 segundos. Es la opción recomendada para la mayoría de cuentas.

Notificación en el móvil

Pulsas «aprobar» en una notificación. Es cómodo, pero cuidado con la «fatiga de MFA»: los atacantes envían muchas solicitudes seguidas esperando que el usuario acepte una por cansancio. Nunca apruebes un inicio de sesión que no has iniciado tú. Las versiones que piden escribir un número que aparece en pantalla son más seguras.

Llaves de seguridad y passkeys

Llaves físicas (FIDO2) o passkeys guardadas en el dispositivo. Son resistentes al phishing, porque solo funcionan en la web legítima. Son la mejor opción para administradores, dirección y cuentas críticas.

Dónde activarla primero en una empresa

Correo electrónico (Microsoft 365, Google Workspace o el que uses): si cae el correo, caen todas las cuentas que se recuperan con él.
Banca online.
Acceso remoto y VPN.
Panel del dominio, del hosting y de la web (WordPress, tienda online).
Redes sociales de la empresa.
Gestor de contraseñas y cuentas de administrador.
Plataformas de pago, reservas, facturación y la Seguridad Social o la sede electrónica que uses.

Cómo activarla sin volverse loco

Empieza por las cuentas de dirección y administración, y después extiéndelo a toda la plantilla.
Guarda los códigos de recuperación en un lugar seguro, por ejemplo en el gestor de contraseñas. Si pierdes el móvil, son tu forma de volver a entrar.
Registra al menos dos factores por cuenta crítica (por ejemplo, app y llave física).
En Microsoft 365 y Google Workspace, el administrador puede obligar a usar MFA en todas las cuentas: no lo dejes a la voluntad de cada uno.
Explica al equipo por qué se hace y que nunca deben aprobar una solicitud que no han iniciado.

Errores comunes

Activarla solo en algunas cuentas y dejar fuera precisamente la del administrador.
Usar el mismo móvil compartido para el segundo factor de varias personas.
No tener plan para cuando alguien pierde o cambia de móvil.
Aprobar notificaciones por inercia.

Preguntas frecuentes

¿Qué es la autenticación de doble factor?

Es un sistema que, además de la contraseña, pide una segunda prueba de identidad, como un código de una app, una notificación en el móvil o una llave física, para iniciar sesión.

¿Es seguro el código por SMS?

Es mejor que no tener nada, pero es el segundo factor más débil porque los SMS se pueden interceptar o desviar con un duplicado de SIM. Es preferible una app de autenticación o una llave de seguridad.

¿Qué pasa si pierdo el móvil con la verificación en dos pasos?

Puedes entrar con los códigos de recuperación que te da cada servicio al activar el doble factor, o con un segundo factor registrado. Por eso conviene guardarlos en un lugar seguro.

Verificación en dos pasos (MFA): qué es y cómo activarla