Para activar la verificación en dos pasos, entra a la configuración de seguridad de cada cuenta, busca la opción de verificación en dos pasos o autenticación de dos factores y elige un segundo método además de la contraseña: una llave de acceso, una app de códigos o un SMS. No todos protegen igual. La Agencia de Ciberseguridad y Seguridad de la Infraestructura de Estados Unidos (CISA) clasifica el código por SMS como la opción más débil y las llaves físicas con FIDO como la más fuerte.
Qué es la verificación en dos pasos
Es pedir una segunda prueba de identidad después de la contraseña. CISA la describe como combinar al menos dos tipos de factores: algo que sabes (una contraseña o un PIN), algo que tienes (el teléfono, un token o una llave física) y algo que eres (huella o rostro). La lógica es simple: si alguien roba tu contraseña con un correo falso o en una filtración, todavía le falta el segundo factor para entrar.
Los nombres cambian según el servicio. Google la llama “verificación en dos pasos”, Apple “autenticación de dos factores” y WhatsApp “verificación en dos pasos”, aunque en WhatsApp funciona distinto, como se explica más abajo. Si no sabes si tu correo o tus contraseñas ya aparecieron en una filtración, empieza por cómo saber si mis datos fueron filtrados.
Qué método elegir
En su guía sobre autenticación multifactor, CISA ordena los métodos del más fuerte al más débil:
| Lugar | Método | Ejemplo |
|---|---|---|
| 1 (más fuerte) | Llave física con autenticación FIDO | Llave USB, NFC o Bluetooth |
| 2 | Token físico | Dispositivo que genera códigos |
| 3 | Biometría | Huella o reconocimiento facial |
| 4 | Token de software | App de códigos como Google Authenticator |
| 5 | Código de un solo uso por correo | Código enviado a tu email |
| 6 (más débil) | Código de un solo uso por SMS | Código de 6 dígitos por mensaje de texto |
En su hoja informativa sobre MFA resistente al phishing, CISA explica por qué las llaves van primero: con FIDO/WebAuthn, si alguien te lleva a un sitio falso para que inicies sesión, el protocolo bloquea el intento. Una app de códigos no tiene esa defensa, porque nada impide que escribas el código en una página falsa. En su guía de buenas prácticas para comunicaciones móviles, la agencia acepta las llaves de acceso (passkeys) con FIDO como alternativa a la llave física; cómo funcionan lo explicamos en passkeys: cómo funcionan.
Las notificaciones que apruebas con un toque tienen su propio riesgo. La misma hoja informativa menciona los ataques de “push bombing”, que envían avisos repetidos hasta que la persona aprueba uno por cansancio, y recomienda pedir un número que coincida en ambas pantallas.
El SMS sigue siendo mejor que nada. CISA insiste en que cualquier verificación en dos pasos es mejor que ninguna. Su riesgo concreto es que el código depende de tu línea: si alguien se queda con tu número mediante un cambio de chip, también recibe tus códigos. Ese ataque lo detallamos en qué es el SIM swapping. En la guía de comunicaciones móviles, CISA añade un detalle que se olvida: activar una app de códigos no desactiva el SMS por sí solo, así que conviene quitarlo después si el servicio lo permite.
Cómo activarla en Google
Según la ayuda de Cuenta de Google:
- Abre tu cuenta de Google.
- Entra a Seguridad e inicio de sesión.
- En “Cómo inicias sesión en Google”, elige Activar verificación en dos pasos.
- Sigue los pasos en pantalla.
Después puedes agregar más métodos: llaves de acceso, una llave de seguridad física, Google Authenticator o un número de teléfono. Google advierte que, si agregas un teléfono, puede tardar hasta 7 días en confiar en él, una pausa pensada para frenar a quien intente usar tu cuenta sin permiso. También permite descargar códigos de respaldo de 8 dígitos para cuando pierdas el teléfono.
Cómo activarla en tu cuenta de Apple
En el iPhone, según el manual de Apple:
- Abre Configuración y toca tu nombre.
- Elige Inicio de sesión y seguridad.
- Toca Autenticación de dos factores.
- Ingresa un número de teléfono de confianza y toca Siguiente.
- Escribe el código que llega a ese número.
Desde ese momento, el iPhone se vuelve un dispositivo de confianza y muestra el código de seis dígitos cuando inicias sesión en otro equipo. Apple sugiere registrar un segundo número que no esté asociado al iPhone: si ese teléfono es tu único dispositivo de confianza y lo pierdes, no podrás recibir los códigos.
Cómo activarla en WhatsApp
En WhatsApp, la verificación en dos pasos no es otro código que llega al teléfono, sino una contraseña propia de la cuenta que se suma al código de registro. El servicio de ayuda de WhatsApp indica que está cambiando el antiguo PIN de 6 dígitos por una contraseña. Para activarla:
- Ve a Ajustes > Cuenta > Verificación en dos pasos.
- Activa la opción.
- Crea una contraseña y confírmala.
- Agrega un correo al que tengas acceso, que sirve para restablecerla.
Si alguien ya tomó tu cuenta, los pasos de recuperación están en cómo recuperar una cuenta de WhatsApp robada.
Errores que anulan la protección
- Dictar el código. Google recuerda que nunca te llamará para pedirte un código de verificación. Quien te lo pide por teléfono o por mensaje busca entrar a tu cuenta; es el mismo guion del fraude por llamada del supuesto banco.
- Aprobar avisos que no pediste. Si te llega una solicitud de inicio de sesión que no iniciaste, recházala y cambia la contraseña.
- No guardar un respaldo. Guarda los códigos de respaldo o registra un segundo método. Sin eso, perder el teléfono puede dejarte fuera de tu propia cuenta.
- Proteger solo una cuenta. Empieza por el correo, porque con él se restablecen las demás contraseñas, y sigue con la cuenta de Apple o Google del teléfono, WhatsApp y las apps de dinero.
