Contraseñas y Doble factor

En resumen

• Dos hábitos evitan la gran mayoría de los compromisos de cuentas personales: una contraseña única y fuerte para cada cuenta (algo que solo un gestor de contraseñas hace realista), y un segundo factor de autenticación.
• Una contraseña es algo que sabes. Un segundo factor es algo que tienes (un teléfono, una llave) o algo que eres (una huella dactilar, un rostro). El atacante que roba uno de estos todavía necesita los demás.
• Usa una aplicación de autenticación, no códigos por SMS, cuando tengas la elección — los mensajes de texto pueden ser interceptados mediante ataques de intercambio de SIM.
• Las passkeys son la nueva dirección. Reemplazan las contraseñas por algo más seguro que además es más fácil de usar. Adóptalas en las cuentas que las ofrezcan.
• La cuenta más importante de tu vida es tu correo electrónico. Protégela como un pasaporte. Todo lo demás puede restablecerse desde ella.

Qué es esto

Cuando inicias sesión en casi cualquier cosa en línea, el sistema necesita saber que eres quien dices ser. La forma tradicional es una contraseña — un secreto que solo tú deberías conocer. El problema con las contraseñas es bien conocido: la gente las reutiliza, las anota de forma insegura y elige contraseñas débiles. Los atacantes cuentan con eso.

La autenticación de dos factores (2FA, a veces llamada multifactor o MFA) añade una segunda prueba: algo que solo el verdadero tú debería tener. Más comúnmente:

• Un código de seis dígitos de una aplicación de autenticación en tu teléfono (Google Authenticator, Microsoft Authenticator, Authy, Aegis en Android, FreeOTP).
• Un código enviado por SMS — conveniente, pero la más débil de las opciones comunes porque los números de teléfono pueden ser secuestrados.
• Una notificación push en una aplicación en la que ya confías ("¿Eras tú intentando iniciar sesión?").
• Una clave de seguridad — un pequeño dispositivo físico que se conecta a un puerto USB o toca tu teléfono (YubiKey, Google Titan, Nitrokey).
• Una passkey — una credencial criptográfica más nueva almacenada en tu teléfono u ordenador que reemplaza la contraseña por completo. La desbloqueas con tu huella dactilar o tu rostro, y el dispositivo prueba tu identidad ante el sitio web. Sin contraseña que robar.

Incluso un atacante que de alguna manera obtiene tu contraseña no puede iniciar sesión sin el segundo factor. Ese único paso bloquea la mayoría de los compromisos de cuentas.

Cómo elegir una contraseña fuerte

Las reglas han cambiado, y el consejo antiguo estaba en su mayor parte equivocado.

• Largo supera a complicado. Una frase de contraseña de 16 caracteres compuesta de cuatro palabras aleatorias es más fuerte que una mezcla de 8 caracteres con símbolos. Los atacantes utilizan enormes máquinas para adivinar contraseñas; la longitud importa más que la puntuación.
• Única por cuenta, siempre. Si la base de datos de un sitio web es robada y tu contraseña se filtra, cada otra cuenta en la que usaste la misma contraseña ahora es accesible. Así es como ocurre la mayoría de los compromisos de cuentas no dirigidos.
• No incluyas información personal que un atacante pueda encontrar o adivinar: el nombre de tu perro, tu año de nacimiento, tu equipo favorito, el nombre de tu hijo más el año de nacimiento.
• No sigas patrones predecibles. "Primavera2025!" estaba en un diccionario de descifrado de contraseñas antes de estar en tu monitor.
• No reutilices, ni siquiera con pequeñas variaciones. MiContraseña1 y MiContraseña2 son tratadas como la misma contraseña por los atacantes.

La única forma realista de mantener docenas de contraseñas fuertes y únicas es un gestor de contraseñas. Consulta Gestores de contraseñas explicados para saber cómo elegir uno.

Cómo elegir un segundo factor

En orden de fortaleza, para personas comunes:

1. Passkey. Donde se ofrece, es lo mejor. Sin contraseña en absoluto. Resistente al phishing por diseño.
2. Clave de seguridad de hardware. Un pequeño dispositivo físico. Resistente al phishing. Lo mejor para cuentas de correo electrónico y bancarias. El costo (25–60 € cada una, idealmente dos para tener una de respaldo) está justificado por la protección que brinda a tu correo y tu dinero.
3. Aplicación de autenticación. Una aplicación gratuita en tu teléfono que genera un nuevo código de seis dígitos cada 30 segundos. Fuerte, fácil, ampliamente compatible.
4. Código SMS. Mejor que nada. Vulnerable a ataques de intercambio de SIM. Úsalo solo cuando no se ofrezca ninguna otra opción; cámbialo en cuanto la plataforma admita algo mejor.
5. Push "Aprobar este inicio de sesión". Conveniente, pero cuidado con los ataques de fatiga MFA — solicitudes push repetidas que no pediste, esperando que toques "aprobar" por hábito. Nunca apruebes un inicio de sesión que no hayas iniciado tú.

Configura esto — en este orden

Si no haces nada más esta semana, haz esto. En una hora tranquila con un café.

1. Tu cuenta de correo electrónico principal primero. Esta es la llave maestra. Pon una contraseña fuerte y única. Activa el 2FA más fuerte disponible. Añade un método de recuperación que no sea solo tu número de teléfono.
2. Tu banco y cualquier cuenta de pago (PayPal, Wise, Revolut, Stripe).
3. La cuenta que contiene tu gestor de contraseñas en sí, con el 2FA más fuerte que puedas usar.
4. Cuentas gubernamentales y fiscales.
5. Tus cuentas de redes sociales, porque si se comprometen se usan frecuentemente para hacer phishing a tus amigos y familiares.
6. Tu cuenta con el operador telefónico, con un PIN de portabilidad si tu operador lo ofrece — para dificultar el intercambio de SIM.
7. Principales cuentas de compras en línea, especialmente las que almacenan direcciones de entrega o métodos de pago predeterminados.

Una vez hecho eso, el resto de tus cuentas puede migrarse gradualmente a medida que inicies sesión en ellas.

¿Qué pasa con los códigos de respaldo?

Cuando activas el 2FA, la plataforma casi siempre ofrece un conjunto de códigos de respaldo — cadenas cortas que puedes usar si pierdes el teléfono. Imprímelos. Ponlos en un lugar seguro — un cajón, una caja fuerte, una carpeta en los documentos familiares. No los guardes como captura de pantalla en tu teléfono ni como nota en tu correo electrónico, ya que ambas cosas pueden verse comprometidas junto con la cuenta.

Si una plataforma te permite registrar dos claves de seguridad, registra dos: una que uses todos los días, una guardada en casa. Perder tu única clave te bloquea fuera de tu cuenta tan eficazmente como perder tu contraseña.

Configura "Por si pierdo el teléfono"

Planifica perder el teléfono, porque tarde o temprano sucederá.

• Anota (en papel) qué cuentas usan códigos de aplicación de autenticación y dónde están guardados los códigos de respaldo de cada una.
• Asegúrate de poder recuperar tu correo desde una dirección de recuperación o un teléfono de recuperación, y que ninguno sea solo tu teléfono actual.
• Dile a una persona de confianza dónde están guardados los códigos de respaldo — no qué son, solo dónde.
• Considera usar una aplicación de autenticación que admita copia de seguridad cifrada en la nube, de modo que al obtener un nuevo teléfono se restauren tus códigos sin perder el acceso. (Authy, Microsoft Authenticator, Google Authenticator ahora lo admiten; muchas personas prefieren alternativas autoalojadas como Aegis por la misma razón.)

Qué NO hacer

• No reutilices contraseñas entre sitios. Es con diferencia la causa más común de compromisos en cascada.
• No almacenes contraseñas en texto sin formato — en una aplicación de notas, en un borrador de correo, en un post-it en el monitor. Un gestor de contraseñas es el lugar seguro.
• No compartas tu contraseña con la familia para cuentas compartidas — usa la función de uso compartido familiar de la plataforma, o comparte a través del uso compartido seguro del gestor de contraseñas.
• No te envíes un código de respaldo por SMS ni guardes códigos de respaldo en una aplicación de notas en la nube de la misma cuenta que protegen.
• No descartes el 2FA por SMS como inútil — es mucho mejor que nada, y detiene la mayoría de los ataques oportunistas. Pasa a un método más fuerte cuando puedas; no rechaces el 2FA solo porque la única opción sea SMS.
• No apruebes una notificación push que no hayas iniciado tú. Si los avisos no se detienen, cambia tu contraseña de inmediato — alguien la tiene.
• No introduzcas un código en ningún sitio excepto en la página en la que empezaste a iniciar sesión. Los códigos también son robados por phishing. Una persona amable por teléfono que te pide que "confirmes el código que acabas de recibir" casi siempre es un atacante.

Usa la IA para ayudarte

Algunos prompts que funcionan bien:

Audita tus hábitos:

"Me gustaría evaluar mi configuración actual de contraseñas y 2FA. Describiré mis hábitos: [dónde guardo las contraseñas, si las reutilizo, qué 2FA tengo en mi correo, banco y cuentas sociales]. Dime (a) mi mayor riesgo, en lenguaje sencillo, (b) los tres cambios que me darían más protección con menos esfuerzo, y (c) el orden en que hacerlos."

Elegir un método:

"Estoy configurando la autenticación de dos factores en [nombre de la cuenta]. Las opciones que se me ofrecen son [listas]. ¿Cuál es la más fuerte, cuál es la más conveniente, y cuál tiene el mejor equilibrio? Explícalo en lenguaje sencillo; asume que no soy técnico."

Un recordatorio: la IA no puede ver tus cuentas. Las respuestas que te da son generales — verifica los pasos en la página de ayuda oficial de la plataforma antes de cambiar la configuración de seguridad.

A quién llamar

Esta ficha es preventiva, no reactiva — no hay a quien llamar cuando configuras las cosas bien. Pero si algo sale mal mientras configuras el 2FA:

• El proceso de recuperación de cuenta de la plataforma es siempre el primer paso. Busca "[plataforma] recuperación de cuenta."
• Tu operador de telefonía si sospechas alguna interferencia relacionada con la SIM durante la configuración.
• Los centros nacionales de ciberseguridad publican guías gratuitas sobre la configuración del 2FA — útiles cuando quieres una segunda opinión. En España, INCIBE / OSI (incibe.es, osi.es, 017); la mayoría de los países de habla hispana tienen un CSIRT o centro nacional equivalente.

Cuándo escalar más allá del chat

• Ya no puedes acceder a tu correo electrónico — ve directamente al proceso de recuperación de la plataforma; esto puede llevar días. Si la recuperación falla, presenta una denuncia policial (ayuda a desbloquear la revisión manual por parte de la plataforma) y, mientras esperas, cambia las contraseñas en todas las demás cuentas que usen ese correo como recuperación.
• Configuraste el 2FA y ahora estás bloqueado, sin códigos de respaldo, sin segundo dispositivo — la mayoría de las plataformas tienen un proceso de recuperación más lento de "verificación de identidad" que implica cargar una identificación. Ten paciencia y síguelo; no compres servicios que afirmen "desbloquear" cuentas por una tarifa.
• Sospechas que alguien está realizando un ataque de fatiga MFA contra ti — solicitudes no deseadas repetidas en tu teléfono — cambia la contraseña de inmediato y desactiva el SMS / push 2FA en favor de una aplicación de autenticación o una clave de seguridad.

Fuentes y lectura adicional

• NIST SP 800-63B — guía actual de EE. UU. sobre contraseñas y autenticación
• UK NCSC — guía de las tres palabras aleatorias
• FIDO Alliance — especificación de passkeys y despliegue
• Blogs de seguridad de Microsoft / Google — estadísticas publicadas sobre la eficacia del 2FA