Con la autenticación de dos factores (2FA), una contraseña filtrada por sí sola no basta para que nadie entre. Aquí tienes en qué se diferencia de la verificación en dos pasos, con la que suele confundirse, y cómo se comparan los métodos (sin pasos de ataque).
La diferencia entre «dos factores» y «dos pasos»
Las palabras se parecen, pero es sencillo si tienes claro el objetivo. Los factores de autenticación se dividen en tres categorías:
La autenticación de dos factores (2FA) mezcla dos categorías distintas (p. ej., contraseña = conocimiento + una app de autenticación = posesión). La idea: si una se rompe, otra categoría sigue en pie, así que un atacante no puede entrar.
La verificación en dos pasos (2SV), en cambio, solo significa «comprobar dos veces», y ambos pasos pueden ser de la misma categoría (contraseña + pregunta de seguridad son dos pasos pero no dos factores). Por eso, si de verdad quieres fortaleza, la clave es mezclar categorías distintas.
Fortaleza del método: depende de si un sitio falso puede robar lo que introduces
Incluso con el 2FA activado, la fortaleza varía mucho según el método. Lo decisivo es si podrías dar por accidente la «prueba» a un sitio falso.
Fuerte ── Passkey / llave de seguridad (FIDO2)
La firma está ligada al dominio: estructuralmente no puede presentarse a un sitio falso (resistente al phishing)
Medio ── App de autenticación (TOTP)
Más fuerte que el SMS, pero un humano lee el código, así que puede entregarse a un sitio falso
Débil ── Códigos por SMS / correo
los códigos pueden sufrir phishing; el SMS también depende del número
Débil: códigos por SMS / correo
- un humano lee y escribe el código, así que puede entregarse directamente a un sitio falso
- El SIM-swap ataca la recepción de SMS o llamadas en un número. El correo depende de la protección del buzón y su recuperación; ambos tipos de código manual pueden sufrir phishing.
- aun así, claramente más fuerte que una contraseña sola (mucho mejor que nada)
Fuerte: passkey / llave de seguridad (FIDO2)
- la firma está ligada al dominio del sitio: imposible de presentar a un sitio falso
- Si una passkey o llave se usa por sí sola como MFA, el servicio debe exigir y comprobar la verificación del usuario mediante PIN o biometría. Una llave también puede combinarse con contraseña; tocarla no constituye por sí solo un segundo factor.
- una app de autenticación (TOTP) queda en medio: más fuerte que el SMS, pero aún presentable a un sitio falso
2FA frente a verificación en dos pasos, MFA, OTP y passkey
Hay muchos términos parecidos porque se mezclan las palabras que nombran una idea con las que nombran un método.
| Término | Qué significa | Ejemplo |
|---|---|---|
| Autenticación de dos factores (2FA) | La idea de combinar dos tipos distintos de prueba | Contraseña + código de app de autenticación |
| Autenticación multifactor (MFA) | La idea de combinar dos o más tipos distintos de prueba (incluye el 2FA) | firma vinculada al dominio; PIN o biometría si se exige verificar al usuario |
| Verificación en dos pasos (2SV) | Comprobar dos veces (las dos pueden ser del mismo tipo) | Contraseña + pregunta de seguridad |
| Contraseña de un solo uso (OTP) | Un código de un solo uso que suele usarse como segunda prueba | Códigos de una app de autenticación, SMS o correo |
| Passkey | Un método de inicio de sesión que firma con una clave privada de tu dispositivo | Desbloquear con la huella o el rostro para iniciar sesión |
El 2FA y la MFA describen qué hay que cumplir; la OTP y las passkeys describen cómo se cumple. Los códigos se explican en qué es una contraseña de un solo uso (OTP), y las firmas en qué es una passkey. Aunque la pantalla de un servicio diga «verificación en dos pasos», lo que hay detrás suele ser un 2FA como contraseña más app de autenticación, así que juzga por el método real.
Cuánto evita el 2FA
Un estudio de 2023 de investigadores de Microsoft que analizó a usuarios de la nube de la compañía halló que las cuentas con MFA activada tenían un riesgo de compromiso un 99,22 % menor en general, y un 98,56 % menor incluso cuando se usaban credenciales filtradas. La mayoría de las tomas de control por reutilización o fugas de contraseñas se detienen con solo activar el 2FA, sea cual sea el método.
Aun así, hay cosas que el 2FA no evita.
- Escribir en un sitio falso: los códigos por SMS y de la app de autenticación introducidos en un sitio falso se retransmiten al real. Las passkeys y las llaves de hardware lo impiden
- Recuperación débil: si una cuenta se puede restaurar solo con un SMS o el correo registrado, esa se convierte en la vía de entrada
- Cuentas sin 2FA: si los atacantes entran por un correo de trabajo o una cuenta de un servicio de terceros sin 2FA, tus demás defensas no sirven
Un incidente publicado: separar causas y medidas recomendadas
En su comunicado del 1 de agosto de 2019, el grupo operador consideró probable un ataque con listas de identificadores y contraseñas obtenidos ilícitamente. Es la evaluación de la empresa en ese momento, no una afirmación de que todas las vías estuvieran determinadas. El mismo comunicado indicó que no había encontrado casos donde la vinculación de identificadores externos, los recordatorios o los restablecimientos por chat fueran causa directa. 808 personas y 38,615,473 yenes al 31 de julio de 2019 a las 17:00, incluyendo recargas y usos no autorizados. Son cifras fechadas del comunicado del 1 de agosto, no un total final declarado. fraude de 7pay (2019).
Desde entonces, más servicios hacen obligatorio el 2FA en vez de dejarlo en manos de los usuarios. Desde marzo de 2023, GitHub exige el 2FA de forma progresiva a los usuarios que contribuyen código (configuración en configurar el 2FA de GitHub). Cuando clasificamos los principales incidentes divulgados en Japón en agosto de 2026, más de ellos empezaron con credenciales legítimas —el Microsoft 365 de un proveedor, un correo de trabajo, credenciales de GitHub— que con vulnerabilidades explotadas (cómo entraron las brechas de 2026 en Japón, en inglés).
Cómo comprobar tus propias cuentas
Decide el orden
Empieza por el correo y tu gestor de contraseñas, porque ambos se usan para restablecer o gestionar tus demás cuentas. Después tu dominio, la nube y GitHub, y luego la banca, la agencia de valores y los pagos.
Comprueba el método de 2FA de cada cuenta
En los ajustes de seguridad, mira si el 2FA está activado y qué método usa. Si es un código por SMS o correo, añade una app de autenticación o una passkey y conviértela en la preferida. Los métodos se comparan en elegir la MFA correctamente.
Prepara códigos de recuperación y un segundo método
Guarda los códigos de recuperación en un lugar distinto del teléfono, como tu gestor de contraseñas. Registra también un segundo método, como una passkey o una llave de hardware de respaldo.
Revisa tu correo y tu teléfono de recuperación
Confirma que el correo y el número de teléfono de recuperación registrados siguen siendo tuyos, y que la propia cuenta de correo de recuperación tiene 2FA. Para comprobar si tu contraseña ya se ha filtrado, consulta cómo comprobar si tu contraseña se ha filtrado.
Si gestionas a otras personas, haz obligatorio el 2FA
En el correo de la empresa, las organizaciones de GitHub y las consolas de administración de la nube, no dejes el 2FA como opcional: hazlo obligatorio en los ajustes de la organización. Pide a las cuentas de administrador que usen passkeys o llaves de hardware.
La visión de este sitio: actívalo primero, luego pásate a métodos que «no puedas entregar»
El fallo más común del 2FA es darle demasiadas vueltas a «cuál es el más fuerte» y acabar sin ninguno. La prioridad está clara: activa primero algún 2FA en todas las cuentas, y luego pasa tus cuentas más importantes (correo, dominio, pagos) a un método que no puedas entregar a un sitio de phishing (passkeys).
Este sitio no cuenta «detectar el sitio falso con cuidado» como estrategia de defensa. En vez de la vigilancia humana, apóyate en métodos donde la prueba estructuralmente no pueda darse a un sitio falso.
Fuentes (primarias)
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" (julio de 2025) — pages.nist.gov (factores de autenticación, resistencia al phishing, métodos por red telefónica restringidos)
- Meyer et al., "How effective is multifactor authentication at deterring cyberattacks?" (Microsoft, 2023) — arxiv.org (la MFA redujo el riesgo de compromiso un 99,22 %, y un 98,56 % con credenciales filtradas)
- CISA, "Implementing Phishing-Resistant MFA" (octubre de 2022) — cisa.gov (PDF) (formas de MFA de la más fuerte a la más débil, SIM-swap dirigido al SMS)
- GitHub Docs, "About mandatory two-factor authentication" — docs.github.com (exigencia progresiva desde marzo de 2023)
- Comunicado del grupo operador sobre cierre, investigación y respuesta (2019-08-01) — 7andi.com
Sigue leyendo
- Ajustes de GitHub: cómo configurar la autenticación en dos pasos de GitHub
- Glosario: qué es una contraseña de un solo uso (OTP) (cómo funcionan los códigos de la app de autenticación: TOTP/HOTP/SMS) · qué es una passkey (el método más fuerte, que no puede entregarse a un sitio falso)
- Glosario: qué es el phishing (entiende los ataques AiTM que apuntan al 2FA)
- Aprende: elegir la MFA correctamente (la selección de método en la práctica)
- Caso: fraude de 7pay (2019)