La MFA combina dos o más categorías distintas de factores. La 2FA utiliza dos categorías; la verificación en dos pasos describe el número de comprobaciones y no implica por sí sola MFA.
La visión de este sitio: juzga la MFA por su método, no por si está activada
En las cuentas importantes, revisa el método real, la verificación del usuario y la recuperación, no solo si la MFA está activada. Un acceso resistente al phishing puede coexistir con una recuperación débil. Es nuestra recomendación defensiva, no una afirmación sobre la causa de la mayoría de las tomas de cuenta.
Por qué necesitas MFA
Una contraseña debe tratarse como «se va a filtrar tarde o temprano» por sí sola. Reutilización, volcados de brechas, adivinación y phishing son todas formas de romper una contraseña. La MFA añade un segundo factor para que una contraseña rota por sí sola siga sin permitir iniciar sesión.
La cuenta de correo es la que más importa de todas. Muchos servicios recuperan el «olvidé mi contraseña» por correo, así que en el momento en que toman tu correo, otras cuentas se resetean una tras otra. Por eso el correo es la cuenta que proteger con la MFA más fuerte (→ el Nivel 0 de la lista de base).
Cómo difiere la fortaleza según el método
Aunque se llame «dos factores», los métodos difieren enormemente en fortaleza. La izquierda es débil, la derecha es fuerte. La línea divisoria es «¿puede presentarse a un sitio falso?»
✗ SMS / correo
los códigos pueden sufrir phishing; el SMS también depende del número
△ autenticador (TOTP)
más fuerte que el SMS, pero el código puede retransmitirse a un sitio falso
○ passkey
firma vinculada al dominio; PIN o biometría si se exige verificar al usuario
◎ llave de seguridad
una llave de hardware FIDO2; la más fuerte; ten una de repuesto
Códigos por SMS / correo
- el código son solo dígitos — puede pegarse en un sitio falso
- El SIM-swap ataca la recepción de SMS o llamadas en un número. El correo depende de la protección del buzón y su recuperación; ambos tipos de código manual pueden sufrir phishing.
- el phishing por relay reenvía el código al sitio real, y no puede impedirlo
- mejor que nada, pero no basta por sí solo para las cuentas importantes
Passkey / llave de seguridad (FIDO2)
- la clave está ligada al dominio de destino — sin firma en un sitio falso
- resistente al phishing por diseño (no depende del juicio humano)
- Si una passkey o llave se usa por sí sola como MFA, el servicio debe exigir y comprobar la verificación del usuario mediante PIN o biometría. Una llave también puede combinarse con contraseña; tocarla no constituye por sí solo un segundo factor.
- usa esto para tus cuentas de correo, dominio y pagos
Qué significa de verdad «resistente al phishing»
Este es el concepto clave. Con el SMS o un código de autenticador, al final un humano tiene que juzgar con sus ojos si lo está introduciendo en el sitio correcto — pero la gente no puede distinguir un dominio réplica perfecto. Una passkey o llave de seguridad (FIDO2), en cambio, sabe para qué dominio es, así que no devuelve ninguna firma a un sitio falso. En otras palabras, aunque el humano sea engañado, la clave no firmará para el sitio falso. Eso es la «resistencia al phishing», y es la diferencia decisiva entre métodos débiles y fuertes.
Tabla comparativa (incluidas las notificaciones push)
Esta comparación se basa en el material de CISA de octubre de 2022; no evalúa por completo todos los servicios. Además del SMS, las apps de autenticación y las passkeys, las páginas de ajustes suelen ofrecer un método más: pulsar «Sí» en una notificación enviada a tu móvil (notificación push). La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ordena la MFA de más fuerte a más débil así:
| Método | Introducido en un sitio falso | Solicitudes repetidas hasta que pulses | SIM-swap | Posición (CISA) |
|---|---|---|---|---|
| Passkey / llave de seguridad (FIDO2) | no se produce ninguna firma | no aplica | no aplica | la más fuerte (resistente al phishing) |
| Código de app de autenticación (TOTP) | puede retransmitirse | no aplica | no aplica | segundo nivel |
| Notificación push con coincidencia de números | puede retransmitirse | poco probable | no aplica | segundo nivel |
| Notificación push (solo botón de aprobar) | puede retransmitirse | posible | no aplica | tercer nivel |
| Código por SMS o voz | puede retransmitirse | no aplica | posible | último recurso |
El punto débil de las notificaciones push es este: cuando un atacante ya tiene la contraseña, envía solicitudes de aprobación una y otra vez hasta que el usuario pulsa «Aprobar» por error o solo para que paren. CISA lo llama «push bombing» (fatiga de MFA). La solución es la coincidencia de números: no puedes aprobar hasta que escribes en la app el número que aparece en la pantalla de inicio de sesión. En las cuentas profesionales y educativas de Microsoft (Microsoft Entra ID), la coincidencia de números es obligatoria en todas las notificaciones push de Microsoft Authenticator desde el 8 de mayo de 2023.
Los códigos manuales y las notificaciones push ordinarias de la tabla no resisten el phishing. FIDO no es la única tecnología posible: NIST también describe TLS con autenticación del cliente. Aquí se comparan passkeys y llaves FIDO2 habituales en servicios personales; CISA propone códigos de app o push con coincidencia numérica como medidas transitorias.
Según la situación: qué método elegir
No necesitas el mismo método en todas las cuentas. Ordénalas según el daño que haría una toma de control.
| Cuenta o situación | Método recomendado | Respaldo que configurar |
|---|---|---|
| Correo personal (Gmail, Outlook.com, etc.) | passkey | una passkey en un segundo dispositivo, o códigos de respaldo |
| Gestor de contraseñas | passkey o llave de seguridad | una segunda llave de seguridad, más los datos de recuperación guardados en papel |
| Administración de dominio, servidor o nube | llaves de seguridad (dos) | la segunda llave guardada en otro lugar, códigos de recuperación |
| Banca y bróker | la passkey u otro método que ofrezca la entidad | el procedimiento de restablecimiento de la propia entidad |
| Redes sociales, compras en línea | passkey; si no, una app de autenticación | códigos de respaldo |
| Un familiar sin smartphone | llaves de seguridad (dos); SMS si no pueden usarse | códigos de respaldo guardados por la familia |
Si dudas, pregúntate: «¿esta cuenta sirve para recuperar otras cuentas?». El correo y tu gestor de contraseñas son la puerta a todo lo demás, así que esos dos llevan el método más fuerte.
Cómo configurarlo (el orden importa)
Empieza por correo, dominio y pagos
MFA en el propio gestor de contraseñas
Si no está soportada, usa un autenticador (TOTP)
Guarda los códigos de recuperación de forma segura
Ten un factor de respaldo
Incluso con MFA, deja de reutilizar contraseñas
La MFA es un seguro, no una excusa para contraseñas débiles. En los servicios donde solo hay MFA no resistente al phishing (como el SMS), la fortaleza y unicidad de la contraseña sigue siendo tu protección principal. Mídela con el verificador de fortaleza de contraseñas.
Dónde configurarla en los principales servicios
Aquí tienes por dónde empezar (según las páginas de ayuda oficiales a octubre de 2026; los nombres de las pantallas pueden cambiar).
| Servicio | Dónde encontrarlo | Métodos y notas |
|---|---|---|
| Cuenta de Google | Cuenta de Google → «Seguridad e inicio de sesión» → «Verificación en dos pasos» | passkeys, llaves de seguridad, mensajes de Google, app de autenticación, SMS o voz, códigos de respaldo |
| Cuenta Microsoft (personal) | account.microsoft.com/security → "Manage how I sign in" (gestionar cómo inicio sesión) → "Additional security" (seguridad adicional) → "Two-step verification" (verificación en dos pasos) | también puedes quitar la contraseña e iniciar sesión sin ella |
| Cuenta de Apple | Ajustes → [tu nombre] → «Inicio de sesión y seguridad» → «Autenticación de doble factor» → «Llaves de seguridad» | debes añadir al menos dos llaves con certificación FIDO (iOS 16.3 o posterior); una vez añadidas, la llave sustituye al código de verificación de seis dígitos |
| GitHub | Settings → "Password and authentication" (contraseña y autenticación) | pasos en cómo configurar la 2FA de GitHub |
En cualquier servicio, cuando registres el primer método, configura el método de respaldo y guarda los códigos de respaldo el mismo día. Si lo dejas para después, no estará ahí cuando pierdas el dispositivo.
Cómo elegir una app de autenticación o una llave de seguridad
Qué comprobar en una app de autenticación
- si puedes pasar los códigos a un móvil nuevo cuando cambies de dispositivo
- Google Authenticator ofrece sincronización opcional con tu Cuenta de Google desde abril de 2023
- guardar los códigos en tu gestor de contraseñas es cómodo, pero si se ve comprometido, ambos factores se filtran desde el mismo sitio
- para las cuentas importantes, guarda los códigos en una app separada de tus contraseñas
Qué comprobar en una llave de seguridad
- elige un producto compatible con FIDO2 (con certificación FIDO)
- comprueba que encaja con los puertos de tus dispositivos (USB-A, USB-C) o con NFC para el móvil
- compra dos desde el principio y registra ambas en la misma cuenta
- lleva una contigo y guarda la otra en otro lugar, por ejemplo en casa
Cómo revisar tu propia configuración
Haz la Revisión de seguridad de Google
Revisa los métodos de inicio de sesión de tu cuenta Microsoft
En el iPhone, revisa los números de confianza y las llaves
Anota el método de cada cuenta
Inicia sesión de verdad con el respaldo
Errores habituales y cómo corregirlos
- Añadir una passkey pero dejar que el SMS siga sirviendo para iniciar sesión o restablecer la cuenta: quita el SMS donde el servicio lo permita; donde no, confirma que el número registrado sigue siendo tuyo.
- Pulsar una solicitud de aprobación que no esperabas: rechaza siempre las solicitudes que lleguen cuando no estás iniciando sesión, y después cambia la contraseña de esa cuenta.
- Guardar los códigos de respaldo como foto o captura de pantalla en el móvil: si pierdes el móvil, los pierdes también. Guárdalos en tu gestor de contraseñas o en papel en otro lugar.
- Puede hacer falta una llave de respaldo u otra recuperación admitida.
- Borrar primero el móvil antiguo al cambiar de dispositivo: confirma que tu app de autenticación y tus passkeys funcionan en el móvil nuevo antes de borrar el antiguo.
- Leer un código en voz alta cuando alguien lo pide por teléfono o mensaje: aunque diga ser el servicio o tu propio servicio de soporte, no le des el código a nadie.
Un caso real: un código entregado
DentaQuest, que gestiona prestaciones dentales y de visión en EE. UU., presentó en mayo de 2026 notificaciones ante los fiscales generales de varios estados por un acceso no autorizado. Según la notificación, el punto de entrada fue un empleado al que se engañó mediante ingeniería social para que facilitara sus credenciales y un código de autenticación multifactor. En su notificación actualizada del 3 de agosto, la empresa dijo haber identificado a más de 27,4 millones de personas en todo el país. La notificación no indica qué tipo de MFA se usaba.
Lo que muestra este caso es que un código que una persona puede leer en voz alta o escribir puede entregarse cuando esa persona es engañada. Para quien gestiona cuentas, la respuesta tiene dos partes:
- pasar las cuentas importantes a métodos que no pueden entregarse, como las passkeys y las llaves de seguridad
- que el servicio de soporte verifique la identidad de quien llama antes de restablecer los métodos de autenticación de nadie
La cronología completa y lo que deben hacer los afiliados están en la brecha de datos de DentaQuest (en inglés).
Lo que hace este sitio
Este sitio protege sus cuentas importantes (especialmente correo, dominios, administración del servidor y pagos) con MFA resistente al phishing siempre que es posible. La razón es simple: si toman una de ellas, las demás cuentas pueden caer con ella. Los inicios de sesión diarios viven en un gestor de contraseñas, y el propio gestor lleva MFA.
Y no nos detenemos en «la MFA está activada» — revisamos periódicamente qué método está en su sitio. Cuando encontramos una cuenta importante con solo SMS, lo tratamos como un punto débil y priorizamos actualizarla a una passkey/llave de seguridad. Gestiona por fortaleza, no por presencia — esa es nuestra política.
Fuentes
-
NIST SP 800-63-4 / SP 800-63B-4 — NIST: authentication factors / NIST: phishing resistance
-
FIDO Alliance — Passkeys FAQ: user verification
-
CISA, "Implementing Phishing-Resistant MFA" (octubre de 2022) — cisa.gov (PDF) (formas de MFA de más fuerte a más débil, push bombing, SIM-swap)
-
CISA, "Implementing Number Matching in MFA Applications" (octubre de 2022) — cisa.gov (PDF)
-
Microsoft Learn, "How number matching works in MFA push notifications for Authenticator" — learn.microsoft.com
-
Ayuda de Cuenta de Google, "Turn on 2-Step Verification" — support.google.com
-
Soporte de Microsoft, "How to use two-step verification with your Microsoft account" — support.microsoft.com
-
Soporte de Apple, "About Security Keys for Apple Account" — support.apple.com
-
Google Security Blog, "Google Authenticator now supports Google Account synchronization" (24 de abril de 2023) — security.googleblog.com
-
Notificaciones de DentaQuest ante el Fiscal General del Estado de Washington (16 de julio de 2026, actualizada el 3 de agosto) — atg.wa.gov
Leer a continuación
- Ajustes de GitHub: cómo configurar la autenticación en dos pasos de GitHub
- Comprobar un robo de cuenta: Cómo saber si alguien ha accedido a tu cuenta (actividad de inicio de sesión, dispositivos conectados)
- Un caso real: DentaQuest — un empleado engañado para entregar un código de MFA (en inglés)
- Fundamentos: la lista de base de seguridad (primero correo, dominio y pagos)
- Almacenamiento: cómo guardar contraseñas de forma segura
- Glosario: SPF/DKIM/DMARC (autenticación de correo antisuplantación)
- Glosario: qué es el phishing (la amenaza para la que está hecha la MFA resistente al phishing)
- Glosario: qué es la 2FA / qué es una contraseña de un solo uso (OTP) (los términos de los métodos, ordenados)
- Sin contraseña: ¿Qué es una passkey? Clave pública, resistencia al phishing y sincronización
- Herramienta: verificador de fortaleza de contraseñas