Una contraseña filtrada no tiene por qué convertirse en una cuenta perdida. La autenticación multifactor, o MFA, añade una verificación además de la contraseña y reduce el valor de una credencial robada. Es una capa importante, pero funciona mejor cuando forma parte de una rutina de protección de identidad; además, no todos los métodos MFA ofrecen la misma protección.
Este artículo explica qué diferencia a un método de otro, cómo elegir entre los disponibles y qué hacer cuando algo parece extraño.
Qué verifican los factores
En general, los factores combinan algo que sabes, algo que tienes o algo que eres. Una contraseña es conocimiento; una aplicación de autenticación o una llave de seguridad puede representar posesión; una función biométrica puede apoyar la verificación en un dispositivo.
Lo importante no es memorizar la clasificación. Es saber que dos factores reducen la probabilidad de que una sola información comprometida baste para entrar en una cuenta.
Pero existe una distinción más importante que contar factores: si el método resiste o no el phishing. El NIST define la resistencia al phishing como la capacidad del protocolo para impedir que los secretos de autenticación se entreguen a un verificador impostor, sin depender de la atención de la persona. Es una definición deliberadamente exigente: no acepta «el usuario se dará cuenta de que el sitio es falso» como control.
La consecuencia práctica es directa. El NIST establece que los autenticadores que requieren introducir manualmente un código —incluidos los OTP de aplicaciones y los códigos fuera de banda— no pueden considerarse resistentes al phishing. Si escribes un número en una pantalla, puedes escribirlo en la pantalla equivocada.
Cómo se comparan los métodos
Ordenados del más fuerte al más débil:
| Método | ¿Resiste el phishing? | Principal limitación |
|---|---|---|
| Llave de seguridad FIDO2 / passkey | Sí | Requiere soporte del servicio; costo del dispositivo físico |
| Notificación push con coincidencia numérica | No | Reduce la aprobación por cansancio, pero el código aún puede introducirse |
| Código de aplicación de autenticación (TOTP) | No | Puede introducirse en un sitio falso |
| Push con un simple «aprobar/rechazar» | No | Vulnerable al bombardeo de notificaciones |
| Código por SMS | No | Expuesto al cambio fraudulento de SIM y a fallas del protocolo del operador |
Las llaves de seguridad y las passkeys resisten el phishing porque vinculan la credencial a la dirección real del sitio. Si estás en banco-seguro-login.com en lugar del dominio legítimo, la llave sencillamente no responde: no hay un código que robar y la protección no depende de que hayas advertido la diferencia en la dirección.
El SMS merece una nota aparte. El NIST clasifica el uso de la red telefónica para autenticación fuera de banda como autenticador restringido: los servicios que lo aceptan deben ofrecer alternativas y advertir sobre los riesgos. El motivo es que el código puede desviarse mediante un cambio fraudulento de SIM —cuando alguien convence al operador de transferir tu número a otra tarjeta— o mediante fallas en el protocolo de señalización entre operadores.
Esto no significa desactivar el SMS cuando es la única opción. El MFA por SMS protege mucho más que la ausencia de MFA. Significa preferir otro método cuando el servicio lo ofrezca y no utilizar SMS en la cuenta que recupera todas las demás.
Elige el método disponible más resistente
Evalúa qué ofrece el servicio, guarda los códigos de recuperación en un lugar seguro y registra más de una forma de recuperación cuando esté permitido. Registrar dos métodos evita que perder un dispositivo se convierta en perder la cuenta.
Nunca apruebes una solicitud de MFA que no hayas iniciado. Las notificaciones repetidas son una técnica conocida: la CISA llama push bombing al ataque que bombardea a la persona con notificaciones hasta que aprueba por error o por irritación ante el flujo interminable. El atacante ya tiene la contraseña; solo falta tu confirmación.
La defensa es una regla sencilla y sin excepciones: una notificación que no iniciaste siempre se «rechaza». Si continúan las notificaciones, eso confirma que tu contraseña se filtró; cámbiala desde la dirección oficial del servicio, no desde un enlace de la notificación.
Para las organizaciones que todavía no pueden adoptar métodos resistentes al phishing, la CISA recomienda la coincidencia numérica como medida intermedia: en vez de un botón «aprobar», el servicio muestra un número en la pantalla de inicio de sesión que debes introducir en la aplicación. Esto no impide el phishing, pero elimina la aprobación accidental: no puedes aprobar por reflejo una solicitud cuyo número no estás viendo.
Protege la recuperación de la cuenta
El proceso de recuperación es tan importante como el inicio de sesión. Un MFA fuerte no protege nada si la contraseña puede restablecerse respondiendo en qué ciudad naciste.
El correo principal necesita una contraseña exclusiva y MFA, porque suele recibir los restablecimientos de contraseña de otros servicios. Las preguntas de seguridad previsibles y los datos públicos debilitan esa vía; si estás obligado a utilizarlas, trata la respuesta como otra contraseña y guárdala en el gestor en lugar de responder la verdad.
Utiliza un gestor de contraseñas para crear credenciales diferentes por servicio. Esto limita el efecto de una filtración: una contraseña utilizada en un sitio no abre automáticamente los demás. El modo de falla que elimina el gestor es el más común: la misma contraseña reutilizada en doce servicios y expuesta en la filtración de uno de ellos.
Guarda los códigos de recuperación fuera del gestor que depende de la cuenta que recuperan. Impresos en papel o en una segunda bóveda resuelven la dependencia circular de guardar la llave dentro de la puerta que abre.
Reacciona con calma ante un aviso de acceso
Cuando recibas una notificación de inicio de sesión desconocido, no hagas clic directamente en el enlace del mensaje: los avisos falsos de «acceso sospechoso» son un señuelo común precisamente porque provocan prisa.
Una secuencia que funciona:
- Abre el servicio desde su dirección o aplicación oficial, escribiéndola tú.
- Comprueba las sesiones activas y cierra las que no reconozcas.
- Cambia la contraseña si existe cualquier indicio de compromiso.
- Comprueba los métodos de MFA y de recuperación registrados: un atacante con acceso suele añadir el suyo. Un método que no reconoces es una señal más fuerte que la notificación original.
- Revisa las reglas de reenvío del correo, si se trata de una cuenta de correo electrónico.
- En una cuenta corporativa, avisa al equipo responsable por el canal establecido por la organización, aunque parezca una falsa alarma.
El orden importa: cambiar la contraseña antes de retirar el acceso indebido puede simplemente avisar al atacante de que lo detectaron.
Lista de comprobación para una cuenta importante
- contraseña exclusiva, larga y guardada en un gestor;
- MFA activado con el método más resistente que ofrezca el servicio;
- códigos de recuperación guardados fuera del gestor;
- al menos dos métodos de autenticación registrados;
- correo de recuperación también protegido con MFA;
- sesiones, dispositivos y reglas de reenvío revisados periódicamente;
- alertas de acceso activadas cuando el servicio las ofrezca;
- ningún código de verificación compartido por mensaje o teléfono: ningún servicio legítimo lo pide.
Proteger las cuentas es una práctica continua. El mejor momento para configurar la recuperación y el MFA es antes de necesitarlos.
Prioriza la cuenta que recupera las demás
No dediques el mismo esfuerzo a todas las cuentas. Empieza por el correo principal y los servicios que administran pagos, dominio, trabajo o archivos: permiten restablecer accesos a otros sistemas.
Una forma práctica de priorizar es preguntar: si alguien entra en esta cuenta, ¿cuántas otras puede abrir a partir de ella? El correo principal suele ser la respuesta más alarmante y es donde primero compensa una llave de seguridad.
Para estas cuentas merece la pena el esfuerzo adicional: método resistente al phishing, dos autenticadores registrados, códigos de recuperación en papel y revisión periódica de las sesiones.
Siguiente paso
Elige una cuenta —probablemente tu correo principal— y hazlo hoy: comprueba cuál es el método MFA más fuerte que ofrece, registra un segundo método y revisa la lista de sesiones activas y factores registrados. Son diez minutos que cambian el resultado de una futura filtración.
Después, establece tu propio procedimiento: si una alerta parece extraña, detente, abre el servicio desde una dirección conocida y comprueba las sesiones. La seguridad de una cuenta no consiste en responder más rápido a una notificación; consiste en tener una vía confiable para verificar antes de aprobar cualquier acción.
