Autenticación en dos pasos (2FA): la protección que todos deberían activar

Las contraseñas se filtran: por bases de datos robadas, por reutilizarlas en varias webs o por caer en una página falsa. Si la única barrera entre un atacante y tu exchange es la contraseña, basta con que la consiga para entrar.

La autenticación en dos pasos (2FA) añade un segundo factor: algo que tienes (tu móvil o una llave física) además de algo que sabes (la contraseña). Aunque te roben la contraseña, sin ese segundo factor no pueden entrar.

Los tipos de 2FA, de menos a más seguro

Código por SMS

Es el más extendido y el más débil. El código llega a tu número de teléfono, y ese número puede ser secuestrado con un SIM swapping: el atacante convence a tu operadora para pasar tu línea a una tarjeta suya. Es mejor que nada, pero no deberías usarlo para cuentas con dinero si hay alternativa.

App de autenticación (TOTP)

Apps como Google Authenticator, Microsoft Authenticator o similares generan un código de seis dígitos que cambia cada pocos segundos. El código se calcula en tu dispositivo, no viaja por la red telefónica, así que el SIM swapping no sirve. Es la opción recomendable para la mayoría.

Llave de seguridad física y passkeys

Una llave física (un pequeño dispositivo USB o NFC compatible con estándares como FIDO2) o una passkey verifican que estás en la web legítima. Por eso protegen incluso contra muchas webs de phishing: si el dominio no coincide, la llave no responde. Es el nivel más alto para cuentas importantes. Más sobre passkeys en gestor de contraseñas y passkeys.

Consejo: Si un servicio te permite elegir, prioriza llave física o passkey; si no, app de autenticación. Usa el SMS solo cuando no haya otra opción, y en ese caso refuerza tu línea con la operadora.

Cómo activarla paso a paso

1. Entra en la configuración de seguridad de tu cuenta (exchange, email, redes).
2. Busca la opción de autenticación en dos pasos o verificación en dos pasos.
3. Elige app de autenticación o llave de seguridad.
4. Escanea el código QR con la app. No hagas captura de ese QR ni lo compartas.
5. Introduce el código que aparece en la app para confirmar.
6. Guarda los códigos de recuperación que te ofrece el servicio. Escríbelos en papel y guárdalos en un sitio seguro.

Por dónde empezar: el orden importa

No todas las cuentas tienen el mismo peso. Empieza por las que dan acceso a las demás:

1. Tu email principal. Con él se recuperan casi todas las demás contraseñas.
2. Exchanges y apps donde tienes dinero.
3. Gestor de contraseñas, si usas uno.
4. Redes sociales y Telegram, que se usan para estafar a tus contactos si te las roban.

Errores que te pueden dejar fuera

• No guardar los códigos de recuperación. Si pierdes el móvil, son tu única puerta.
• Cambiar de móvil sin migrar la app. Antes de formatear o vender el antiguo, pasa las cuentas al nuevo.
• Dar el código a alguien. Ningún soporte legítimo te pedirá tu código 2FA. Quien lo pide es un estafador; lo ves en estafas de Telegram cripto.
• Tener todo en un solo dispositivo sin copia: si se rompe, recuperar cada cuenta puede llevar días.

Lo que el 2FA no protege

El 2FA protege cuentas: exchanges, email, redes. No protege una wallet de autocustodia. En una wallet como Phantom, quien tenga tu frase semilla controla los fondos, con o sin 2FA. Tampoco te salva si firmas una transacción maliciosa. Para eso necesitas otras defensas: proteger la frase semilla y entender lo que firmas.

Revisa también las sesiones y los dispositivos

Activar el 2FA es el primer paso, pero no el último. Muchos servicios muestran en la configuración de seguridad qué dispositivos y sesiones tienen acceso a tu cuenta. Revísalos de vez en cuando y cierra los que no reconozcas. En los exchanges, comprueba además si existe una lista de direcciones de retirada autorizadas: limitar las retiradas a direcciones que tú has aprobado añade otra barrera si alguien consigue entrar.

Y si un servicio te avisa por email de un inicio de sesión que no has hecho, no hagas clic en el enlace del mensaje: entra tú desde tu marcador y cambia la contraseña desde ahí.

Contenido educativo, no es asesoramiento financiero ni de seguridad profesional. Revisa en la web oficial de cada servicio qué métodos de 2FA admite y cómo recuperar la cuenta si pierdes el segundo factor.