Actualizado: 14 de noviembre de 2026 · Revisado por la Redacción Informora · Información general sobre seguridad digital.
La verificación en dos pasos (también llamada autenticación de dos factores o autenticación multifactor, MFA) es la forma más sencilla de evitar que alguien entre a tu correo, tu banco o tu WhatsApp aunque haya robado tu contraseña. Además de la contraseña, la cuenta te pide una segunda prueba: un código en tu teléfono, una notificación en una app, tu huella o una llave de seguridad.
En plena temporada de compras navideñas, cuando más circulan mensajes falsos de entregas y bancos, vale la pena activarla hoy. Esta guía explica cómo funciona, qué métodos son más seguros según la Agencia de Ciberseguridad (CISA) y el NIST, cómo activarla en tus cuentas principales y qué hacer para no quedarte fuera si pierdes el teléfono.
Lo esencial
- Con la verificación en dos pasos, una contraseña robada ya no basta para entrar a tu cuenta.
- Cualquier método es mejor que ninguno, pero no todos protegen igual: las llaves de acceso (passkeys) y las llaves de seguridad FIDO resisten el phishing; los códigos por SMS son los más débiles.
- Activa la verificación primero en tu correo electrónico, tu banco, tus apps de pago y tus redes sociales.
- Guarda los códigos de respaldo en un lugar seguro para no quedarte fuera si pierdes el teléfono.
Qué es la verificación en dos pasos
Para entrar a una cuenta, normalmente demuestras quién eres con algo que sabes (la contraseña). La verificación en dos pasos añade un segundo factor de otro tipo: algo que tienes (tu teléfono o una llave física) o algo que eres (tu huella o tu cara).
La CISA explica que los delincuentes son cada vez más capaces de robar contraseñas con phishing y que aprovechan las que reutilizas en varios sitios. La MFA añade una protección fuerte contra el robo de cuentas porque aumenta mucho la dificultad para los atacantes: aunque tengan tu contraseña, no pueden completar el segundo paso.
Esto importa especialmente para las familias hispanas, que suelen manejar remesas, cuentas bancarias y beneficios del gobierno desde el celular. Si un estafador entra a tu correo, puede restablecer las contraseñas de todo lo demás. Si eso ya te pasó, sigue los pasos de robo de identidad: qué hacer en las primeras 24 horas.
Métodos: del más débil al más seguro
La CISA insiste en que cualquier MFA es mejor que no tener MFA, pero que no todos los métodos dan el mismo nivel de protección:
| Método | Cómo funciona | Nivel de protección |
|---|---|---|
| Código por SMS o llamada | Recibes un código por mensaje de texto | Básico: vulnerable al robo de la línea (SIM swap) y al phishing |
| Código por correo electrónico | Recibes un código en tu e-mail | Básico: si roban tu correo, roban el código |
| App autenticadora | Una app genera un código nuevo cada 30 segundos | Bueno: no depende de tu línea telefónica |
| Notificación con coincidencia de números | Apruebas en tu app escribiendo el número que ves en pantalla | Bueno: frena el “bombardeo” de notificaciones |
| Llave de acceso (passkey) o llave de seguridad FIDO | Tu dispositivo firma el acceso solo en el sitio legítimo | El más fuerte: resiste el phishing |
Por qué las passkeys y FIDO son las más seguras
Según la CISA, la única autenticación resistente al phishing ampliamente disponible es la basada en FIDO/WebAuthn: si un estafador te engaña para que entres a un sitio falso, el protocolo bloquea el intento porque la llave solo funciona con el sitio verdadero. Las passkeys que ofrecen hoy Google, Apple, Microsoft y muchos bancos usan esta tecnología. Si tu servicio no la ofrece, la CISA recomienda al menos usar notificaciones con coincidencia de números para bloquear los ataques por SMS y el bombardeo de notificaciones.
Por qué el SMS es el más débil
Las directrices de identidad digital del NIST (SP 800-63B) catalogan el uso de la red telefónica pública para enviar códigos como un método “restringido”, con requisitos adicionales, y prohíben el correo electrónico como canal de verificación fuera de banda. El riesgo principal es el cambio fraudulento de SIM: el estafador convence a tu compañía telefónica de pasar tu número a otra tarjeta y recibe tus códigos. Aun así, un SMS es mucho mejor que solo la contraseña.
Qué cuentas proteger primero
- Correo electrónico principal: es la llave de todas las demás cuentas.
- Banco, cooperativa y tarjetas de crédito.
- Apps de pago y remesas (Zelle, PayPal, apps de envío de dinero). Los pagos instantáneos son difíciles de recuperar; lee estafas con Zelle.
- Cuenta de tu compañía de celular: pide además un PIN o bloqueo de portabilidad para evitar el cambio de SIM.
- Cuentas del gobierno: Login.gov, my Social Security, la cuenta del IRS y tu cuenta del Mercado de salud.
- WhatsApp, Facebook e Instagram: los secuestros de cuentas se usan para pedir dinero a tus contactos.
- Tiendas en línea con tarjetas guardadas.
Cómo activarla paso a paso
La CISA resume el proceso en tres pasos que sirven para casi cualquier app:
- Ve a Configuración. Busca en tu perfil “Cuenta”, “Seguridad” o “Contraseña y seguridad”.
- Busca y activa la opción. Puede llamarse verificación en dos pasos, autenticación de dos factores, MFA o “llaves de acceso”.
- Elige el método. Si está disponible, prefiere una passkey o una app autenticadora antes que el SMS.
Consejos prácticos:
- WhatsApp: en Ajustes > Cuenta > Verificación en dos pasos, crea un PIN de seis dígitos y añade un correo de recuperación.
- Cuentas de Google, Apple o Microsoft: activa las passkeys y revisa los dispositivos conectados.
- Bancos: si solo ofrecen SMS, actívalo igual y añade alertas de transacciones.
- Usa contraseñas distintas en cada sitio; un administrador de contraseñas ayuda a recordarlas.
Si pierdes o cambias el teléfono
- Guarda los códigos de respaldo que te dan al activar la verificación: imprímelos o anótalos y guárdalos con tus documentos importantes.
- Registra un segundo método (otra llave, otro dispositivo o un número de confianza).
- Antes de cambiar de teléfono, transfiere tu app autenticadora o confirma que tus passkeys se sincronizan.
- Si te quedas sin acceso, usa solo el proceso de recuperación oficial del servicio. Nunca pagues a “recuperadores de cuentas” que te contactan en redes sociales.
Errores y estafas a evitar
- Dar el código a alguien. Ningún banco, agencia del gobierno ni empresa legítima te pedirá por teléfono el código que te acaban de enviar. Si alguien lo pide, es una estafa.
- Aprobar notificaciones que no pediste. Si te llegan solicitudes de acceso que no hiciste, recházalas y cambia tu contraseña: alguien la tiene.
- Escanear códigos QR desconocidos que te llevan a páginas de inicio de sesión falsas.
- Usar la misma contraseña en todo. La verificación protege, pero una contraseña única sigue siendo la primera barrera.
- Ignorar alertas de cambio de SIM. Si tu teléfono pierde la señal de repente, llama a tu compañía desde otro número.
Si fuiste víctima de un fraude en línea, puedes denunciarlo en ReporteFraude.ftc.gov y, si hubo pérdida de dinero por internet, también en el IC3 del FBI.
Preguntas frecuentes
¿Qué es la verificación en dos pasos y para qué sirve?
Es una capa extra de seguridad: además de tu contraseña, la cuenta pide una segunda prueba, como un código o tu huella. Sirve para que nadie pueda entrar a tu cuenta solo con una contraseña robada.
¿Es seguro recibir el código por mensaje de texto?
Es mejor que no tener nada, pero es el método más débil, porque los estafadores pueden robar tu número con un cambio de SIM o engañarte para que les des el código. Si puedes, usa una app autenticadora o una passkey.
¿Qué es una passkey o llave de acceso?
Es una forma de iniciar sesión sin contraseña: tu teléfono o computadora guarda una llave digital que se desbloquea con tu huella, cara o PIN, y que solo funciona en el sitio legítimo. Por eso resiste el phishing.
¿Qué hago si alguien me pide el código que me llegó?
No lo compartas. Cuelga, cambia tu contraseña desde la app oficial y revisa si hubo actividad sospechosa. Ninguna empresa legítima necesita ese código para “verificarte” por teléfono.
Fuentes
- CISA — More than a Password (MFA)
- CISA — Turn On MFA (Secure Our World)
- NIST — Special Publication 800-63B, Authentication and Authenticator Management
- FTC — ReporteFraude.ftc.gov
Este contenido es informativo y no sustituye la asistencia técnica de tu banco o proveedor. Los menús de cada app pueden cambiar. Consulta nuestro Aviso Legal y Política Editorial.