2FA: cómo funcionan SMS, TOTP y FIDO2 para proteger tus cuentas

La autenticación de dos factores (2FA) no sustituye a la contraseña, sino que añade una segunda prueba de identidad obligatoria antes de conceder el acceso. Según IBM, el sistema combina algo que el usuario sabe (contraseña) con algo que posee (dispositivo móvil, llave física) o algo que es (biometría). Esta doble verificación impide que un atacante que haya robado la contraseña pueda entrar en la cuenta, ya que carece del segundo factor. La lógica es sencilla: si el primer factor falla, el segundo actúa como barrera final que requiere una acción o posesión física que el intruso no tiene.

Es importante distinguir entre 2FA y la autenticación multifactor (MFA). Mientras que el 2FA exige exactamente dos factores, el MFA permite tres o más. La mayoría de los servicios de consumo, como bancos o correos electrónicos, implementan 2FA como estándar mínimo. La clave está en que cada factor debe pertenecer a una categoría distinta; usar dos contraseñas o dos códigos SMS no cuenta como 2FA real, ya que ambos factores se basan en lo que el usuario sabe o en el mismo canal de entrega. Esta distinción es vital para evaluar la seguridad real de una configuración.

El método más extendido, pero también el más débil, es el envío de códigos por SMS. El mecanismo es simple: el servidor envía un código numérico temporal al número de teléfono registrado. Sin embargo, este método depende de la infraestructura de telefonía móvil, que presenta vulnerabilidades estructurales documentadas. Psono señala que los atacantes pueden explotar el SIM swapping, engañando a los operadores para transferir el número de la víctima a una SIM controlada por el atacante, interceptando así todos los códigos en tiempo real. Este proceso puede completarse en minutos, dejando al usuario sin acceso mientras el atacante toma el control.

Además del SIM swapping, los ataques SS7 explotan fallos en el protocolo de señalización global de las redes móviles para interceptar mensajes de forma remota. Esto significa que el código SMS viaja por una red que no está diseñada para la seguridad de alto nivel. Por ello, fuentes como Signaturit y Psono recomiendan evitar el SMS como único método de 2FA, especialmente en cuentas bancarias o de correo electrónico, donde el impacto de una intrusión es crítico. La dependencia de la red de operadores introduce un punto de fallo externo que el usuario no puede controlar directamente.

Las aplicaciones de autenticación, como Google Authenticator o Microsoft Authenticator, utilizan el estándar TOTP (Time-based One-Time Password). A diferencia del SMS, el código se genera localmente en el dispositivo del usuario mediante una función criptográfica (SHA-1) que combina un secreto compartido con el tiempo actual. Según Proton, estos códigos suelen ser de 6 dígitos y tienen una validez de 30 segundos, lo que limita drásticamente la ventana de oportunidad para un atacante. La generación local elimina la necesidad de enviar datos por la red, mejorando la privacidad y la velocidad de respuesta.

La ventaja principal del TOTP es que no depende de la red de telefonía ni de la entrega de mensajes. El código existe solo en el dispositivo y en el servidor, que lo verifica mediante la sincronización de tiempo. Esto elimina los vectores de ataque de SIM swapping y SS7. Sin embargo, el TOTP no es inmune al phishing: si el usuario introduce el código en una página falsa, el atacante puede usarlo inmediatamente. Además, si el dispositivo se pierde o se formatea, el acceso puede verse comprometido si no se han guardado los códigos de recuperación. La gestión del dispositivo es, por tanto, la nueva responsabilidad del usuario.

FIDO2 (Fast Identity Online) representa la evolución más avanzada de la autenticación. Basado en el estándar WebAuthn del W3C, FIDO2 utiliza llaves criptográficas únicas para cada sitio web, eliminando la necesidad de contraseñas y códigos compartidos. Según la FIDO Alliance, este sistema genera un par de claves (pública y privada) en el dispositivo del usuario; la clave pública se envía al servidor, mientras que la privada nunca sale del dispositivo. Esta arquitectura de clave pública/privada es la base de la seguridad moderna en la web.

Este mecanismo hace que el phishing sea prácticamente inviable. Al no compartir secretos a través de internet, el atacante no puede capturar una credencial válida para otro sitio. Las passkeys (llaves de acceso) integradas en navegadores y sistemas operativos permiten autenticarse mediante biometría local (huella o reconocimiento facial) sin enviar datos biométricos a la nube. Microsoft y Google ya ofrecen esta opción como método prioritario, ya que demuestra la posesión del dispositivo y la identidad del usuario simultáneamente. La experiencia de usuario se simplifica al eliminar la fricción de introducir códigos manuales.

La elección del método de 2FA debe basarse en el nivel de riesgo del servicio. Para cuentas críticas (banca, correo principal, criptomonedas), se recomienda FIDO2 o TOTP con app de autenticación. Para servicios de menor riesgo, el SMS puede ser aceptable como capa adicional, pero nunca como única opción. A continuación, se detallan los pasos generales para activar la 2FA en servicios comunes:

1. Accede a la configuración de seguridad de tu cuenta (ej. en Google: Cuenta > Seguridad > Verificación en dos pasos).
2. Selecciona el método preferido: FIDO2 (llave de acceso) o TOTP (app de autenticación).
3. Genera y guarda los códigos de recuperación: son códigos de un solo uso que permiten recuperar el acceso si pierdes el dispositivo. Guárdalos en un gestor de contraseñas o en un lugar físico seguro.
4. Verifica la configuración iniciando sesión de nuevo para asegurarte de que el segundo factor funciona correctamente.

Uno de los errores más frecuentes es no guardar los códigos de recuperación o almacenarlos en el mismo dispositivo que la app de autenticación. Si pierdes el teléfono, estos códigos son tu única vía para recuperar el acceso sin llamar al soporte técnico. INCIBE recomienda activar la 2FA en todas las cuentas que lo permitan, pero enfatiza la importancia de seguir las instrucciones específicas de cada plataforma, ya que la configuración varía. La preparación ante la pérdida del dispositivo es tan importante como la activación inicial del sistema.

Otro error es confiar en que la 2FA es una solución infalible. Aunque reduce drásticamente el riesgo, no elimina la amenaza del phishing en el caso de TOTP. Para mitigarlo, es crucial educarse para identificar páginas falsas y, siempre que sea posible, migrar a FIDO2. Si se pierde el dispositivo, la recuperación debe ser rápida: usa los códigos de recuperación, contacta al soporte con la documentación requerida y, una vez recuperado el acceso, reconfigura la 2FA en un dispositivo nuevo. La seguridad es un proceso continuo que requiere revisión periódica de las credenciales.