Fundamentos de la autenticación de dos factores (2FA)

Incluso una contraseña perfecta de 20 caracteres puede ser capturada por phishing, malware o filtraciones en el servidor. 2FA añade una segunda capa que requiere algo que tienes físicamente.

Con 2FA habilitado, un atacante con tu contraseña aún necesita tu segundo factor. Esto frustra el phishing masivo, credential stuffing y muchos ataques dirigidos.

Los tres factores de autenticación son: algo que sabes (contraseña), algo que tienes (teléfono, llave hardware), algo que eres (biometría).

SMS 2FA envía un código de un solo uso vía mensaje de texto. Es el método más común pero el menos seguro por vulnerabilidades como SIM swapping e interceptación SS7.

NIST clasifica SMS como autenticador "restringido" — aceptable pero no recomendado cuando hay alternativas mejores disponibles.

Si SMS es tu única opción, úsalo. Pero planea migrar a TOTP o llaves de hardware lo antes posible.

TOTP genera códigos de 6 dígitos que rotan cada 30 segundos usando un secreto compartido. Apps populares: Google Authenticator, Authy, Microsoft Authenticator, 1Password.

La ventaja: funciona sin conexión y no depende de la red celular. No es vulnerable a SIM swapping.

Al configurar TOTP, guarda los códigos de respaldo de forma segura. Si pierdes tu dispositivo sin respaldos, puedes quedar bloqueado permanentemente.

FIDO2/WebAuthn utiliza criptografía de clave pública. El servidor almacena solo la clave pública; la clave privada nunca sale de tu dispositivo. Es inmune al phishing por diseño.

Llaves de hardware como YubiKey y Google Titan proporcionan la mayor seguridad. También se usan passkeys integradas en dispositivos con Windows Hello o Touch ID.

FIDO2 proporciona resistencia al phishing, prueba de presencia del usuario y verificación del origen criptográfica. Es el método recomendado por NIST para AAL3.

Para cuentas de alta seguridad (email, banca, crypto): llaves de hardware FIDO2 como método principal con TOTP como respaldo.

Para cuentas corporativas: FIDO2 con políticas MDM. El costo de una YubiKey (~$50) es insignificante comparado con una brecha.

Para cuentas personales generales: TOTP como mínimo. Cualquier 2FA es mejor que ninguno.

Usar el mismo teléfono para SMS 2FA y recuperación de cuenta. Si un atacante hace SIM swap, obtiene ambos.

No generar códigos de respaldo. Sin un método alternativo, perder el teléfono significa perder el acceso.

Hacer capturas de pantalla de códigos QR TOTP. El QR contiene el secreto — una captura en tu galería puede ser accedida por cualquier app.

Aprobar notificaciones push inesperadas. Los atacantes envían intentos repetidos esperando fatiga MFA (push bombing).