El doble factor pide dos pruebas distintas para entrar: algo que sabes, como la contraseña, y algo que tienes o que eres, como el móvil o la huella. Con él, una contraseña robada no basta. No todos valen lo mismo: el SMS es el más débil y una llave física, el único que resiste el phishing.
Foto: Vitaly Gariev, en Pexels
Casi todos los ataques que acaban en una cuenta robada tienen lo mismo en común: la contraseña. Se adivina por fuerza bruta, se pesca con phishing, la apunta un keylogger o aparece en una filtración de otra web. El doble factor de autenticación resuelve buena parte del problema con una idea sencilla: que la contraseña sola no baste. Esta guía explica qué es, qué tipos hay, cuáles son más seguros y dónde activarlo en una empresa pequeña, empezando por el cortafuegos.
INCIBE lo explica a partir de los tres tipos de prueba que existen para demostrar quién eres:
La autenticación de doble factor combina dos de tipos distintos. INCIBE explica que, al comprobar dos veces y por mecanismos diferentes que eres quien dices ser, añade una capa de seguridad: si un delincuente se hace con la contraseña, necesita también el segundo factor. Por eso mitiga en gran medida la fuerza bruta, la ingeniería social, el malware que roba contraseñas y las malas prácticas como dejarlas apuntadas.
INCIBE insiste en no confundirlo con la verificación en dos pasos, en la que las dos pruebas son del tipo «algo que sé», como la contraseña y un código que llega por SMS o por correo. La considera más vulnerable y la desaconseja, porque el código que se envía se puede interceptar. En el uso de todos los días los nombres se mezclan, y lo que importa es qué método hay detrás.
| Método | Cómo funciona | Lo que dicen las fuentes |
|---|---|---|
| Código por SMS o llamada | El servicio envía un código al teléfono. | INCIBE lo desaconseja porque se puede interceptar. El NIST mantiene restringido el uso de la red telefónica para esto y pide vigilar señales como un cambio de SIM o una portabilidad. |
| Aplicación de códigos (TOTP) | Una app del móvil genera cada poco un código de un solo uso a partir de un secreto compartido y la hora. | INCIBE lo prefiere al SMS. No resiste el phishing según el NIST, porque se teclea. |
| Notificación en el móvil (push) | Llega un aviso a una app y se aprueba o se rechaza. | El NIST pide limitar cuántos avisos se envían desde el último acceso correcto. |
| Token físico con pantalla | Un llavero o tarjeta que genera una clave de un solo uso. | INCIBE lo cita entre los métodos clásicos. Se teclea, así que tampoco resiste el phishing. |
| Llave de seguridad o passkey | Un dispositivo USB o NFC, o una clave guardada en el móvil o el ordenador, que firma con criptografía de clave pública. | INCIBE cita las llaves del estándar FIDO U2F y las passkeys. Según el NIST, es lo que resiste el phishing. |
| Certificado de cliente | Un certificado digital instalado en el equipo o en una tarjeta que se presenta en la conexión cifrada. | El NIST lo pone como ejemplo de método resistente al phishing. |
La norma de autenticación del NIST, SP 800-63B, es muy clara en un punto que suele pasarse por alto: los métodos en los que se teclea un código, como el SMS o la aplicación de códigos, no son resistentes al phishing. El motivo es que el código no queda ligado a la sesión: una web falsa puede pedirlo y usarlo al instante en la web de verdad.
Para el NIST, la resistencia al phishing solo la da la autenticación criptográfica, en la que la respuesta queda atada a la conexión o al nombre de la web legítima. Sus ejemplos son el certificado de cliente en una conexión TLS y las passkeys bien configuradas, cuya clave solo funciona en la web donde se creó, de modo que una página falsa no puede capturarla y reutilizarla. La norma obliga a ofrecer al menos una opción resistente al phishing en su nivel intermedio (AAL2) y la exige en el más alto (AAL3).
Hay además un límite que INCIBE ilustra con un caso real: si el atacante ya tiene un troyano en el mismo móvil, como el troyano bancario Cerberus, puede interceptar los códigos de los SMS y de Google Authenticator. Esto es criterio de esta web: un código en el móvil sirve sobre todo contra el robo de contraseñas a distancia; contra un equipo ya infectado o una web falsa bien hecha, la llave física es lo único que aguanta.
INCIBE recomienda, por proporcionalidad, usarlo siempre en los servicios críticos: la administración de sistemas, las cuentas del banco y la gestión de la tienda en línea. Recuerda además que cada vez más servicios lo ofrecen: el correo, el almacenamiento en la nube, los intermediarios de pago o el panel del proveedor de alojamiento. Su política de contraseñas para pymes lo pide en todos los accesos donde sea posible. El Esquema Nacional de Seguridad, que obliga al sector público y a sus proveedores, exige un doble factor para acceder desde o a través de zonas no controladas, y pone internet como ejemplo.
Para una empresa pequeña, eso se traduce en esta lista:
Casi todos los cortafuegos de empresa lo admiten. Dos ejemplos de su documentación oficial:
Esto es criterio de esta web: antes de activar el doble factor en la cuenta de administración del cortafuegos, conviene tener una segunda cuenta de administración o un acceso de emergencia guardado en sitio seguro, por si se pierde el móvil. Y dentro de la red, el modelo de confianza cero pide lo mismo para los servicios internos: que haber entrado por la VPN no dé acceso a todo sin volver a comprobar quién eres.
Una forma de entrar en un servicio que exige dos pruebas de tipo distinto: algo que sabes (una contraseña o un PIN), algo que tienes (un móvil, un token, una llave) o algo que eres (la huella, el rostro). INCIBE explica que así cualquier intento de hacerse con las llaves se complica, porque el atacante necesita también el segundo factor.
INCIBE los distingue: la verificación en dos pasos usa dos cosas del tipo «algo que sé», como la contraseña y un código que llega por SMS o correo, y la considera más vulnerable porque ese código se puede interceptar. En el uso diario las dos palabras se mezclan, así que conviene mirar qué método usa de verdad cada servicio.
Es mejor que nada, pero es el más débil. INCIBE desaconseja los métodos que envían el código por SMS porque se puede interceptar, y la norma del NIST mantiene restringido el uso de la red telefónica para esto. Ni el SMS ni los códigos de una aplicación resisten el phishing, porque una web falsa puede pedirlos y usarlos al momento.
Según la norma SP 800-63B del NIST, solo la autenticación criptográfica, como una llave de seguridad física o una passkey, en la que la respuesta queda ligada a la web o a la conexión de verdad. Los métodos en los que se teclea un código no se consideran resistentes al phishing.
INCIBE recomienda usarlo siempre en los servicios críticos, como la administración de sistemas, el banco o la tienda en línea. El Esquema Nacional de Seguridad lo exige para entrar desde zonas no controladas, como internet. En la práctica: el correo, la VPN del cortafuegos, la administración del cortafuegos y el gestor de contraseñas.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
