La mayoría de los robos de cuentas no empiezan con un hackeo ingenioso. Empiezan con una contraseña robada en la filtración de otro sitio y probada después en tu correo. La verificación en dos pasos detiene exactamente eso, y es con diferencia el ataque más frecuente.
La verificación en dos pasos pide algo que sabes (la contraseña) y algo que tienes (tu teléfono). Actívala primero en el correo, prefiere una aplicación de autenticación al SMS y guarda los códigos de respaldo fuera del teléfono: saltarse ese paso es la forma más común de perder una cuenta para siempre.
Los cuatro métodos, del más débil al más sólido
1. Código por SMS
Llega un código de seis dígitos por mensaje.
Ventaja: sin instalación ni aplicación.
Debilidad: el mensaje viaja por la red de la operadora. En un ataque llamado SIM swapping, alguien convence a la operadora de trasladar tu número a una SIM que él posee, y tus códigos le llegan a él. Los SMS además aparecen en la pantalla de bloqueo, legibles por quien tenga el teléfono en la mano.
Veredicto: la opción más débil, e infinitamente mejor que nada. Si es la única disponible, úsala.
2. Aplicación de autenticación
Una aplicación genera un código nuevo cada treinta segundos.
Por qué es más sólida: el código se calcula dentro de tu dispositivo a partir de un secreto guardado al activarlo y de la hora actual. No cruza ninguna red, así que no hay nada que interceptar. Funciona sin cobertura alguna.
Cuidado: si pierdes el teléfono sin copia de seguridad, todos los códigos se van con él. Activa la copia que ofrezca la propia aplicación.
Veredicto: la opción por defecto razonable para la mayoría.
3. Claves de acceso (passkeys)
Entras con huella, cara o el PIN del dispositivo, sin contraseña.
Por qué son las más sólidas en la práctica: la clave está ligada criptográficamente a la dirección real del sitio. Abre una página de phishing idéntica a la de tu banco y la clave sencillamente no funciona, porque la dirección es distinta. Es una protección que la atención humana no puede ofrecer.
Veredicto: actívalas allí donde se ofrezcan.
4. Llave de seguridad física
Un pequeño dispositivo USB o inalámbrico. Lo más robusto disponible, indicado para cuentas de alto valor. Cuesta dinero, y conviene tener dos por si se pierde una.
Comparativa
| Método | Resiste una contraseña robada | Resiste el SIM swapping | Resiste el phishing | Necesita Internet |
|---|---|---|---|---|
| SMS | Sí | No | No | Solo cobertura |
| Aplicación | Sí | Sí | No | No |
| Clave de acceso | Sí | Sí | Sí | Sí |
| Llave física | Sí | Sí | Sí | No |
La tercera columna es la verdadera línea divisoria: solo los dos últimos métodos te protegen cuando el engañado eres tú.
Los códigos de respaldo, el paso que todos se saltan
Al activar la verificación, la mayoría de servicios muestra una serie de códigos de un solo uso. Casi todo el mundo cierra la ventana.
Esos códigos son tu única entrada si el teléfono se pierde, se rompe o te lo roban.
Perder el acceso así es más frecuente que sufrir un hackeo. La cuenta sigue perfectamente intacta: simplemente tú estás fuera, a veces sin forma de demostrar que es tuya.
Dónde guardarlos:
- Impresos en papel, en un lugar seguro de casa
- O dentro de un gestor de contraseñas
- No en la aplicación de notas del teléfono que protegen
Por dónde empezar
El orden importa:
- El correo electrónico, antes que nada. Quien controla tu correo restablece la contraseña de todo lo demás con «he olvidado mi contraseña». Proteger el banco antes que el correo es cerrar la caja fuerte dejando la llave en la puerta.
- Cuentas bancarias y financieras
- Redes sociales, especialmente WhatsApp, donde una cuenta robada sirve para estafar a tus contactos
- La cuenta de la tienda de aplicaciones
En casi todos los servicios la ruta es: Ajustes → Seguridad → Verificación en dos pasos.
La verificación en dos pasos no puede hacer nada si eres tú quien escribe el código en un sitio falso. Ningún servicio legítimo te pedirá jamás tu código de verificación por teléfono, mensaje o chat. Quien lo haga es un atacante, por convincente que suene.
Lee también: cómo detectar un mensaje de phishing.
Preguntas frecuentes
¿Qué diferencia hay entre un código por SMS y una aplicación de autenticación?
El SMS viaja por la red móvil y puede interceptarse tomando el control de tu número en la operadora. La aplicación genera el código dentro del dispositivo, sin red: no hay nada que interceptar. Ambos son mejores que nada, pero la aplicación es más sólida.
¿Qué pasa si pierdo el teléfono?
Ahí es donde importan los códigos de respaldo. Si los guardaste, entras con uno y restableces el acceso. Si no, puedes perder la cuenta de forma permanente, y eso ocurre mucho más a menudo que un hackeo.
¿La verificación en dos pasos detiene todos los ataques?
No, pero detiene la inmensa mayoría: los ataques automatizados que reutilizan contraseñas filtradas. Una página de phishing bien hecha todavía puede lograr que escribas el código tú mismo.
¿Hay que activarla en todas partes?
Empieza por el correo electrónico. El correo es la llave de recuperación de todas tus demás cuentas: quien lo controla, controla el resto.
¿Qué son las claves de acceso (passkeys)?
Un sustituto más reciente que elimina la contraseña y usa tu huella o el PIN del dispositivo. Resisten al phishing por diseño, porque la clave está ligada a la dirección real del sitio. Actívalas donde se ofrezcan.
Fuentes
¿Has encontrado un error? Escríbenos: lo corregimos y anotamos el cambio al final del artículo. Hello@daily-atlas.com
