Verificación en dos pasos (autenticación de dos factores): qué es, qué método elegir y cómo activarla

La verificación en dos pasos, también conocida como autenticación de dos factores (Google usa los dos nombres; Microsoft habla también de autenticación multifactor), te pide un segundo dato además de la contraseña: un código, una confirmación en tu celular, tu huella o tu rostro. Así, aunque alguien conozca tu contraseña, no puede entrar sin ese segundo paso. La Guardia Nacional la recomienda para evitar el robo de identidad y pide activarla en tus redes sociales, tu correo electrónico y demás servicios digitales.

Ya la usas, quizá sin saberlo

Cuando tu banco te pide un token o un código para autorizar una operación, es el mismo principio. Con los cambios a las reglas de tarjetas publicados en 2018, los bancos pueden pedir al menos dos elementos de autenticación, como el NIP, el chip, un celular asociado o la huella, y la CONDUSEF explicó que, si el banco no te los pidió en una operación que reclamas, debe abonarte el monto. Por eso nadie legítimo te pedirá esos códigos: los bancos no solicitan contraseñas, NIP, tokens ni códigos de seguridad por teléfono.

Mucha gente ya se protege así. Según el MOCIBA 2025 del INEGI, el 64.9 % de las personas usuarias de internet de 12 años y más tomó alguna medida para proteger sus dispositivos o cuentas; de ellas, el 88.9 % usa contraseñas adicionales, como claves, patrón, NIP, códigos de acceso o la verificación de dos pasos, y el 48.2 %, datos biométricos.

Los métodos, del más expuesto al más resistente

• Código por SMS o llamada: el más común. Google advierte que puede quedar expuesto en ataques al número de teléfono, como el cambio de tu SIM, y Microsoft anunció que eliminará gradualmente los SMS como método de autenticación y de recuperación en las cuentas personales.
• App de códigos, como el Autenticador de Google o Microsoft Authenticator: genera códigos de un solo uso, incluso sin internet.
• Aviso en el celular: Google recomienda sus mensajes como segundo paso, porque es más fácil presionar Sí o No que escribir un código y porque ayudan a protegerte si alguien intenta cambiarte la SIM.
• Llaves de acceso (Apple las llama claves): reemplazan la contraseña y se desbloquean con tu huella, tu rostro o el bloqueo de pantalla. No se pueden compartir, copiar ni escribir por error en una página falsa, explica Google; Apple las describe como resistentes al phishing. Si entras a Google con una llave de acceso, el segundo paso se omite.
• Llave de seguridad física: un pequeño dispositivo compatible con FIDO2 que conectas al celular o a la computadora. Para Google, las llaves de acceso y las llaves físicas protegen tu cuenta de ataques de phishing.

Cómo activarla

• Google: abre tu Cuenta de Google, presiona Seguridad y acceso y, en "Cómo acceder a Google", elige Activar la Verificación en 2 pasos. Un número de teléfono nuevo puede tardar hasta 7 días en ser de confianza.
• Apple: en el iPhone o iPad, abre Configuración > [tu nombre] > Inicio de sesión y seguridad y activa la autenticación de dos factores; en la web, entra a account.apple.com. Ya es el método predeterminado para la mayoría de las cuentas: al iniciar sesión en un dispositivo nuevo te pide un código de seis dígitos que aparece en tus dispositivos de confianza o llega a tu número de confianza.
• Microsoft: entra a account.microsoft.com/security, selecciona Administrar cómo inicio sesión y, en Seguridad adicional y verificación en dos pasos, elige Activar.
• WhatsApp: Ajustes (Android) o Configuración (iPhone) > Cuenta > Verificación en dos pasos; crea un PIN y agrega un correo de recuperación, según la guía de la Guardia Nacional.
• Redes sociales: la Guardia Nacional indica entrar al menú de la app, abrir la configuración y privacidad, buscar el Centro de Cuentas o el apartado de contraseña y seguridad, y ahí la autenticación en dos pasos.

Cómo no quedarte fuera

• Configura más de un método. Microsoft advierte que, si pierdes tu único método de contacto, la contraseña sola no basta y recuperar la cuenta puede tardar 30 días; recomienda tener tres datos de seguridad asociados.
• Imprime o descarga los códigos de respaldo de Google, de 8 dígitos, y guárdalos en un lugar seguro: te sirven si pierdes el celular.
• Marca "No volver a preguntar en este dispositivo" solo en los equipos que usas seguido y no compartes con nadie.
• Nunca des un código a nadie. Google aclara que no te llamará para verificar un código, y Apple, que nunca te pedirá tu código de autenticación de dos factores ni que desactives funciones de seguridad. Si alguien te llama para pedirlo, es una estafa.
• Crea llaves de acceso solo en tus propios dispositivos: quien pueda desbloquear ese equipo podrá entrar a tu cuenta, advierte Google.

Activa hoy el segundo paso en tu correo. Con una contraseña robada, quien te ataque se queda afuera.