¿Qué es la autenticación de dos factores (2FA)? Guía 2024

La autenticación de dos factores (2FA) convierte tu contraseña robada en inútil para un atacante, porque necesita un segundo factor físico para entrar. INCIBE lleva promoviendo esta práctica desde al menos 2020, pero la adopción real depende de que los usuarios decidan invertir unos minutos en configurar algo que quizás solo necesiten una vez al año.

Definición básica: Requiere dos formas de verificación de identidad · Proveedores clave: Microsoft, Google, Cisco · Beneficio principal: Previene acceso no autorizado · Ejemplos comunes: Contraseña + código SMS o app · Costo típico: Gratis para usuarios básicos

La siguiente tabla recopila los datos clave sobre 2FA para consulta rápida.

¿Qué es la autenticación de dos factores y cómo funciona?

La autenticación de dos factores, conocida como 2FA por sus siglas en inglés (Two-Factor Authentication), es un método de seguridad que requiere dos formas independientes de verificación para confirmar tu identidad. No basta con saber la contraseña: también necesitas algo que solo tú posees o algo que solo tú eres. El Instituto Nacional de Ciberseguridad de España (INCIBE) la define como una medida adicional a la contraseña para proteger del acceso no autorizado.

Diferencia con autenticación simple

Con solo una contraseña, un atacante que descubra tus credenciales puede entrar directamente a tu cuenta. Un keylogger o una base de datos filtrada basta para comprometer todo. Con 2FA, aunque alguien robe tu contraseña, necesita ese segundo factor físico: tu teléfono, tu huella o un dispositivo USB. Checkout.com explica que el proceso funciona en tres pasos: login con credencial, solicitud del segundo factor, y verificación.

Tipos de factores

Avast detalla los tres categorías de factores: algo que sabes (contraseña o PIN), algo que tienes (teléfono, token hardware o llave USB) y algo que eres (huella dactilar, reconocimiento facial o iris). Para activar 2FA necesitas combinar dos de estos tres tipos. Un ejemplo cotidiano no digital es el código de un garaje combinado con la llave física: ambos son necesarios para entrar.

¿Cuáles son ejemplos de autenticación de dos factores?

Los ejemplos más cotidianos de 2FA combinan tu contraseña habitual con un código temporal que llega a tu móvil o se genera en una aplicación. Ese código, conocido como OTP (One-Time Password), es un número de un solo uso que caduca en minutos según INCIBE. Sin ese código, la contraseña robada resulta inútil para el atacante.

SMS y apps

El método más conocido es recibir un código por SMS. Lo ofrecen Facebook, Gmail y la mayoría de servicios financieros. Sin embargo, INCIBE advierte que este método es vulnerable al SIM swapping, un tipo de ataque donde el atacante convince a tu operador de que migrar tu número a otra tarjeta. TreceBits recomienda usar una app autenticadora en su lugar: genera códigos offline directamente en tu dispositivo, sin depender de la red celular. Google Authenticator, por ejemplo, produce nuevos códigos cada 30 segundos.

Hardware como YubiKey

Las llaves de seguridad físicas representan la opción más robusta. Facebook permite configurar una llave USB o NFC como segundo factor, según TreceBits. Este método es resistente a phishing porque el atacante necesitaría físicamente el dispositivo. Son ideales para cuentas de alto valor: banca online, correos corporativos o carteas de criptomonedas. La guía ATA para autónomos en España recomienda este método para quienes manejan datos sensibles de clientes.

¿Cuáles son las ventajas y desventajas de la 2FA?

La autenticación de dos factores ofrece beneficios claros en seguridad, pero también introduce fricción en la experiencia de uso. IBM señala que el principal trade-off es exactamente ese: mayor protección a cambio de un paso adicional durante el login. Para cuentas críticas, ese inconvenience merece la pena.

Ventajas principales

• Protege contra keyloggers y contraseñas filtradas: aunque alguien grabe lo que escribes, necesita el segundo factor
• Reduce riesgos de accesos fraudulentos en cuentas críticas según Deusto Formación
• Disponible gratuitamente en la mayoría de servicios: no necesitas pagar extra por activar
• Métodos variados: desde SMS hasta llaves USB, cada usuario elige su nivel de comodidad
• Cumple regulaciones: PSD2 en la UE exige autenticación similar para pagos electrónicos (Checkout.com)

Desventajas comunes

• Si pierdes el teléfono, el acceso se complica: necesitas códigos de recuperación o soporte del servicio
• SMS vulnerable a SIM swapping según El Hacker Blog: un atacante puede transferir tu número
• Fricción en UX: cada login requiere un paso adicional, lo que puede frustrar a usuarios frecuentes
• Dependencia del dispositivo: si la batería se agota o el teléfono se daña, no recibes el código
• No todas las plataformas ofrecen métodos igual de seguros: algunas solo ofrecen SMS

¿Cuánto cuesta la autenticación de dos factores?

La buena noticia es que la mayoría de servicios ofrecen 2FA sin costo adicional. Gmail, Facebook, Instagram, Twitter y la mayoría de plataformas bancarias incluyen esta función gratuitamente en sus cuentas estándar. La inversión real no es monetaria: es el tiempo de configurar y aprender a usar el segundo factor.

Opciones gratuitas

• Google Authenticator (iOS y Android): genera códigos offline sin conexión a internet
• Microsoft Authenticator: similar a Google, integrado con cuentas Microsoft
• SMS como segundo factor: gratuito pero con las vulnerabilidades ya mencionadas
• Llaves USB genéricas: modelos básicos disponibles desde aproximadamente 15 euros

Soluciones pagas

• Apps premium como Authy: ofrecen respaldo en la nube y sincronización entre dispositivos (planes desde 3 euros/mes)
• Llaves de seguridad certificadas FIDO2: YubiKey y similares desde 25 a 70 euros dependiendo del modelo
• Servicios de identidad digital para empresas: soluciones corporativas con gestión centralizada de accesos

¿Cómo activar la autenticación de dos factores en plataformas populares?

Activar 2FA es más sencillo de lo que parece. Los pasos varían ligeramente según la plataforma, pero el concepto es el mismo: vinculas un segundo factor a tu cuenta y listo. A continuación, los procesos para las plataformas más usadas.

En Facebook

TreceBits detalla el proceso para la aplicación de Facebook: abre el menú, ve a Configuración, luego a Seguridad, selecciona Autenticación en dos pasos y toca Empezar. Eliges entre recibir un código por SMS o configurar una app autenticadora. Si prefieres desde escritorio, El Hacker Blog indica navegar a Configuración > Contraseña y seguridad > Usar autenticación en dos pasos > elige el método. Facebook también permite vincular tu cuenta de WhatsApp como canal de verificación.

En Gmail y WhatsApp

Para Gmail, El Hacker Blog explica que el camino es Cuenta Google > Seguridad > Verificación en dos pasos > Empezar. Vincular Google Authenticator requiere escanear un código QR durante la configuración. En WhatsApp, la verificación en dos pasos se activa desde Ajustes > Cuenta > Verificación en dos pasos > Activar. El servicio te pide crear un PIN de seis dígitos que solicite ocasionalmente para mayor seguridad.

Para usuarios cotidianos en España, la decisión es clara: si usas Gmail, Facebook o cualquier servicio que maneje información personal sensible, activa 2FA ahora. El tiempo de configuración —aproximadamente cinco minutos— es una fracción del esfuerzo que implicaría recuperar una cuenta comprometida. Para autónomos y profesionales que manejan datos de clientes, la guía ATA de julio 2025 lo deja meridianamente claro: el doble factor no es opcional si quieres cumplir con las recomendaciones mínimas de ciberseguridad del país.