Casi todos los negocios con los que hablamos ya tienen doble autenticación en algo. En el correo del gerente, en el banco, a veces en la cuenta de Instagram. Cuando preguntamos cuál segundo factor usan, la respuesta más común es "el código que llega al celular". Es un avance frente a solo tener contraseña, pero es también el factor más débil de los que existen hoy —y en las cuentas donde más duele perder el control suele ser el único activo.
Este artículo no es una lista de aplicaciones recomendadas. Es el criterio para decidir qué factor va en qué cuenta, y para revisar la parte que casi nadie mira: qué pasa el día que el segundo factor se pierde.
Qué es realmente un segundo factor
Un factor de autenticación es una prueba de que eres quien dices ser, y solo existen tres familias: algo que sabes (una contraseña, un PIN), algo que tienes (un teléfono, una llave física) y algo que eres (una huella, tu rostro). La autenticación de dos factores exige pruebas de dos familias distintas.
Ese detalle explica por qué una contraseña más una pregunta de seguridad no es doble autenticación: ambas son "algo que sabes", y ambas se pueden averiguar sin tocar tus dispositivos. Y explica también por qué el criterio para comparar factores no es la comodidad, sino qué tan difícil le resulta a alguien reproducirlos a distancia.
Los tres niveles, de más débil a más fuerte
Nivel 1 — El código por SMS. Depende de tu línea telefónica, no de tu teléfono. Y una línea se puede trasladar: en el fraude conocido como SIM swapping, alguien con tus datos personales convence al operador de portar tu número a otra SIM y, desde ese momento, recibe todos tus códigos. También llegan sin cifrar y son visibles en la pantalla bloqueada. Sirve, y es mucho mejor que nada, pero es el eslabón que primero se rompe.
Nivel 2 — Las apps de códigos temporales (TOTP). Son las que muestran seis dígitos que cambian cada 30 segundos. El servicio y tu app comparten una semilla secreta al momento de configurarla y, a partir de ahí, ambos calculan el mismo código a partir de la hora. No hay mensajes viajando por la red, no dependen del operador y funcionan sin señal. Suben mucho el costo del ataque y son el mínimo razonable para cualquier cuenta de trabajo.
Su límite es conocido: el código se puede pedir. Una página falsa bien hecha te pide usuario, contraseña y código, y los reenvía al sitio real en tiempo real. Tú entregas los seis dígitos creyendo que entras a tu cuenta; quien está al otro lado entra a la suya.
Nivel 3 — Llaves de seguridad y passkeys. Aquí el factor deja de ser un dato que puedas dictar. Una llave física —o una passkey guardada en tu teléfono o computador— responde con una firma criptográfica que está atada al dominio real del sitio. Si la página es una imitación, el navegador simplemente no encuentra la llave correspondiente y no hay nada que entregar. Por eso se les llama resistentes al phishing: no es que el usuario aprenda a no caer, es que técnicamente no puede.
La pregunta útil no es "¿tengo doble autenticación?", sino "¿qué tendría que hacer alguien, desde otro país, para entrar a esta cuenta?".
El eslabón que casi nadie revisa: la recuperación
Puedes tener una llave física en la cuenta principal y aun así estar expuesto si la opción "¿perdiste el acceso?" permite entrar con un código enviado a tu correo, y ese correo está protegido solo con SMS. Un sistema de autenticación vale lo que vale su camino más débil, y el camino de recuperación suele ser el más débil de todos porque se diseña pensando en el usuario despistado, no en el atacante.
Tres revisiones concretas. Primero, mira en cada cuenta crítica qué métodos de recuperación están activos y desactiva los que no necesites. Segundo, guarda los códigos de respaldo que el servicio ofrece al activar el segundo factor: son de un solo uso y son tu salida cuando el teléfono se pierde. Van impresos o en un gestor de contraseñas, nunca como captura de pantalla en la galería del celular ni en un chat contigo mismo. Tercero, revisa el correo de respaldo: si apunta a una cuenta antigua que ya no controlas, hoy es una puerta abierta.
Cómo ordenarlo en un equipo pequeño
No hace falta cambiarlo todo el mismo día. El orden que usamos es simple y se puede ejecutar en una tarde.
1. Inventario de cuentas críticas. Escribe la lista de cuentas cuyo secuestro pararía el negocio o costaría dinero: el correo corporativo, el dominio y el hosting, la pasarela de pagos, el banco, las redes sociales, la herramienta de facturación. Suelen ser entre seis y doce. El correo va primero siempre, porque desde ahí se restablecen casi todas las demás.
2. Asigna el nivel por impacto. Nivel 3 (llave o passkey) para el correo, el dominio y el dinero. Nivel 2 (app de códigos) para el resto. El SMS queda solo donde el servicio no ofrece nada mejor —todavía pasa con algunos bancos— y en ese caso conviene pedirle al operador el bloqueo de portación de la línea.
3. Dos factores registrados, no uno. En las cuentas de nivel 3 registra dos llaves: una de uso diario y una de respaldo guardada bajo llave en otro lugar físico. Es la diferencia entre perder un dispositivo y perder la cuenta.
4. Cuentas de la empresa, no de la persona. Si el segundo factor de la cuenta comercial está en el teléfono personal de quien manejaba las redes, la salida de esa persona se convierte en un incidente. Usa cuentas administrativas propias del negocio, con accesos delegados que puedas revocar.
Tres errores que vemos seguido
Todo en el mismo teléfono. Contraseñas, app de códigos, correo de recuperación y la línea que recibe los SMS en el mismo dispositivo: si te lo roban desbloqueado, no hay dos factores, hay uno.
Aprobar notificaciones sin leer. Los ataques de "fatiga de notificaciones" consisten en enviar decenas de solicitudes de acceso hasta que alguien toca Aceptar para que dejen de sonar. Regla fija: si no fuiste tú quien inició el ingreso en ese momento, se rechaza y se cambia la contraseña.
Activarlo solo en la cuenta del dueño. Los atacantes no buscan al gerente, buscan la puerta con menos protección. Si el equipo comparte herramientas, la protección la define la cuenta más descuidada.
El siguiente paso
Haz el inventario y revisa, cuenta por cuenta, qué segundo factor tiene activo y por dónde se puede recuperar. En la mayoría de los negocios ese ejercicio toma una tarde y descubre dos o tres puertas abiertas que nadie había mirado.
Si prefieres hacerlo acompañado, es parte de lo que trabajamos en ciberseguridad: autenticación y contraseñas, custodia de claves privadas y detección de phishing, revisados sobre tus cuentas reales y no sobre una lista genérica. No vendemos miedo ni pólizas: te mostramos cómo está tu configuración hoy, qué cambiaríamos primero y por qué. Entiende antes de invertir también aplica a la seguridad.