Verificación en dos pasos: qué es, qué método elegir y cómo activarla

Si alguien consigue tu contraseña, porque la reutilizas, porque se filtró en una brecha o porque caíste en un correo de phishing, puede entrar en tu cuenta. La verificación en dos pasos (también llamada autenticación en dos factores, 2FA o MFA) añade una segunda comprobación: además de la contraseña, hace falta algo que solo tú tienes, como tu móvil o una llave física. Organismos de ciberseguridad como CISA, en Estados Unidos, la consideran una de las medidas más eficaces que puede tomar cualquier usuario.

#Cómo funciona

Al iniciar sesión en un dispositivo nuevo:

1. Escribes tu contraseña (algo que sabes).
2. El servicio pide una segunda prueba de algo que tienes, como un código del móvil o una llave de seguridad, o que eres, como tu huella, a través del dispositivo.

Aunque un atacante tenga tu contraseña, sin el segundo factor no puede entrar.

#Qué método elegir

Regla práctica: activa al menos la app de autenticación o las notificaciones en tus cuentas importantes. Si solo hay SMS, actívalo igualmente.

#Qué cuentas proteger primero

1. Correo electrónico principal. Es la llave de todo: con él se pueden restablecer las contraseñas de casi cualquier otro servicio.
2. Cuenta de Google, Apple o Microsoft, que controla tu móvil, tus fotos y tus copias de seguridad.
3. Banca y pagos.
4. Redes sociales y mensajería, por ejemplo WhatsApp.
5. Gestor de contraseñas, si usas uno.
6. Cuentas de trabajo.

#Cómo activarla (pasos generales)

Los menús varían según el servicio, pero el proceso suele ser:

1. Entra en la configuración de la cuenta, en la sección Seguridad.
2. Busca Verificación en dos pasos, Autenticación en dos factores o Inicio de sesión en dos pasos.
3. Elige el método. Si usas una app de autenticación, escanea el código QR que aparece en pantalla con la app.
4. Introduce el código que muestra la app para confirmar.
5. Guarda los códigos de recuperación (ver abajo).
6. Añade un segundo método de respaldo si el servicio lo permite.

Google y Microsoft tienen guías paso a paso en sus centros de ayuda, enlazadas en las fuentes.

#Los códigos de recuperación: no los ignores

Al activar la verificación en dos pasos, muchos servicios te dan una lista de códigos de un solo uso para entrar si pierdes el móvil. Son tan importantes como la contraseña:

• Guárdalos fuera del móvil: en papel en un lugar seguro o en tu gestor de contraseñas.
• No los guardes en una nota sin protección ni en el correo de la misma cuenta.
• Si usas uno, genera una lista nueva cuando te queden pocos.

#Si cambias de móvil

Antes de restablecer o vender el móvil antiguo:

• Transfiere la app de autenticación: muchas permiten exportar las cuentas o sincronizarlas de forma cifrada con tu cuenta.
• Comprueba que puedes iniciar sesión con el móvil nuevo en tus cuentas importantes antes de borrar el antiguo.
• Si pierdes el acceso, usa los códigos de recuperación o el proceso de recuperación del servicio.

#Mitos frecuentes

• «Es muy incómodo». En la mayoría de servicios solo se pide al iniciar sesión en un dispositivo nuevo.
• «Mi cuenta no le interesa a nadie». Los ataques suelen ser automáticos y masivos: prueban contraseñas filtradas en miles de cuentas.
• «Con una buena contraseña basta». Una contraseña fuerte no te protege si se filtra o si la introduces en una web falsa.

#Conclusión

Activar la verificación en dos pasos en tu correo, tus cuentas principales y tu banca lleva unos minutos y bloquea la mayoría de los accesos con contraseñas robadas. Usa una app de autenticación o una llave física cuando puedas, guarda los códigos de recuperación fuera del móvil y no apruebes nunca solicitudes que no hayas iniciado. Complétalo con un gestor de contraseñas y, si sospechas que ya te han entrado, sigue nuestra guía para recuperar una cuenta hackeada.