Autenticación de dos factores (2FA): qué es y por qué una contraseña no basta

Una contraseña es un secreto que existe en más lugares de los que la mayoría de las personas imagina. Se escribe en sitios web, se reutiliza en distintas cuentas y, en ocasiones, queda expuesta en una filtración de datos ajena. Por eso, una contraseña por sí sola es una forma frágil de proteger cualquier cosa valiosa.

La autenticación de dos factores agrega una segunda prueba de un tipo diferente, por lo que una contraseña robada no basta por sí sola. Aquí explicamos qué es, cuáles son los tipos de segundo factor más comunes, por qué ayuda y qué cosas no puede hacer.

Qué es la autenticación de dos factores

La autenticación de dos factores, que suele abreviarse como 2FA, consiste en demostrar quién eres mediante dos tipos distintos de evidencia. Las pautas de identidad digital del NIST describen tres tipos de factores de autenticación: algo que sabes, como una contraseña; algo que tienes, como un teléfono o una llave de seguridad; y algo que eres, como una huella digital.

Los dos factores deben ser de tipos diferentes. El NIST señala que una contraseña y un PIN no cuentan como dos factores, porque ambos son algo que sabes. También puedes encontrar este método con los nombres de autenticación multifactor, MFA, o verificación en dos pasos. La CISA considera que, en el uso cotidiano, estos nombres significan lo mismo: un paso adicional para confirmar que realmente eres quien dices ser.

Los tipos de segundo factor más comunes

El segundo factor más conocido es un código de un solo uso, enviado por mensaje de texto o generado por una aplicación de autenticación en tu teléfono. Otra opción es una llave de seguridad física o una clave de acceso, que usa criptografía integrada en un dispositivo. También se pueden usar una huella digital o un escaneo facial. El NIST indica que los datos biométricos solo cuentan como parte de la autenticación multifactor, junto con un dispositivo físico.

Estos métodos no ofrecen el mismo nivel de seguridad. Según la CISA, la autenticación basada en los estándares FIDO, como las llaves de seguridad y las claves de acceso, es la opción más sólida y resiste el phishing. Los códigos de una aplicación de autenticación son mejores que los mensajes de texto, pero aun así pueden ser objeto de phishing; los mensajes de texto son la opción más débil de las más comunes. Comparar cada tipo en detalle es un tema aparte.

Por qué una contraseña no basta

La CISA explica que una contraseña —algo que sabes— se puede reutilizar, descifrar con mayor facilidad o robar. Si usas la misma contraseña en varias cuentas, una sola filtración puede dar acceso a todas. Con un segundo factor, un atacante que tenga la contraseña todavía necesita el otro elemento. Según la CISA, esto hace que sea mucho menos probable que hackeen tu cuenta.

La recomendación de la CISA es activar la autenticación multifactor en todos los servicios que la ofrezcan y empezar por las cuentas más importantes: primero el correo electrónico, luego los servicios financieros y, después, las redes sociales y las tiendas en línea. También recomienda usar contraseñas seguras y únicas, junto con un administrador de contraseñas, ya que ambas protecciones funcionan en conjunto.

Qué no hace la autenticación de dos factores

Un segundo factor dificulta que alguien se apodere de una cuenta, pero no la vuelve invulnerable. Una página de inicio de sesión falsa y convincente puede capturar un código y usarlo de inmediato. También pueden interceptar o redirigir un mensaje de texto, por ejemplo, mediante un intercambio de SIM. Por eso importa el método que elijas, y comprobar que estás en el sitio legítimo antes de ingresar cualquier código también forma parte de la protección.

Tampoco protege todo. La 2FA protege una cuenta que inicia sesión en un servicio, pero no puede proteger la clave privada ni la frase semilla de una billetera de criptomonedas, porque no son cuentas. Tampoco reemplaza una contraseña segura y única ni una forma segura de recuperar el acceso si pierdes tu teléfono.

Recordatorio de WEEX: activa la función y protege los códigos

WEEX recuerda a sus usuarios que activen la autenticación de dos factores en todos los servicios que la ofrezcan, empezando por el correo electrónico y las cuentas financieras. Guarda los códigos de respaldo o recuperación en un lugar seguro y sin conexión, y revisa la dirección de un sitio antes de ingresar un código. Nunca compartas un código de un solo uso ni una frase semilla con nadie, incluidas las personas que digan trabajar en soporte: un servicio legítimo nunca necesita ninguno de esos datos.

Conclusión

La autenticación de dos factores pide dos tipos distintos de prueba, por lo que una contraseña robada no basta para acceder. Los tipos de segundo factor ofrecen distintos niveles de seguridad: las llaves de seguridad y las claves de acceso son las opciones más sólidas, mientras que los mensajes de texto son las más débiles. Ninguno reemplaza las buenas contraseñas, los hábitos cuidadosos ni la protección de las claves privadas de una billetera. Activar esta función es una de las formas más sencillas de dificultar que alguien se apodere de una cuenta.

Preguntas frecuentes

1. ¿Qué es la autenticación de dos factores?
Es una forma de iniciar sesión que requiere dos tipos distintos de prueba, como una contraseña más un código de tu teléfono, en lugar de solo una contraseña.

2. ¿La 2FA es lo mismo que la MFA y la verificación en dos pasos?
En el uso cotidiano, estos nombres significan prácticamente lo mismo. En sentido estricto, MFA significa usar más de un tipo distinto de factor, mientras que 2FA significa usar exactamente dos.

3. ¿La autenticación de dos factores hace que una cuenta sea imposible de hackear?
No. Dificulta que alguien se apodere de la cuenta, pero una página de inicio de sesión falsa puede capturar un código y los mensajes de texto pueden ser interceptados. Por eso, tanto el método como tus hábitos son importantes.

4. ¿Una contraseña más un PIN cuentan como autenticación de dos factores?
No. Ambos son algo que sabes, así que, según las pautas del NIST, cuentan como un solo factor.

5. ¿Qué cuentas deberían tener autenticación de dos factores primero?
La CISA sugiere empezar por el correo electrónico, luego seguir con los servicios financieros y, después, las redes sociales y las tiendas en línea. El correo electrónico va primero porque suele usarse para restablecer el acceso a otras cuentas.