Los métodos de autenticación de dos factores más fiables en 2026 se basan en el estándar FIDO2. La mejor protección la proporcionan las claves de seguridad físicas con PIN o verificación biométrica, así como las claves de acceso Passkeys. Ambas opciones protegen contra la mayoría de los ataques de phishing comunes, en los que los estafadores intentan robar la contraseña y el código de verificación mediante un sitio falso.
Si un servicio no admite FIDO2, es preferible elegir una aplicación autenticadora con códigos de un solo uso o la confirmación de inicio de sesión con comprobación de número. Los códigos SMS y la confirmación por correo electrónico son menos fiables. Sin embargo, incluso estos métodos suelen ser más seguros que iniciar sesión solo con contraseña. La elección depende de los métodos disponibles, del valor de la cuenta y del riesgo de perder el acceso al dispositivo.
Clasificación de métodos de autenticación de dos factores por fiabilidad
No todas las opciones de 2FA protegen por igual contra el acceso no autorizado. El criterio principal de diferencia es la resistencia al phishing. Si una persona introduce la contraseña y un código de un solo uso en un sitio falso, el atacante puede usar esos datos de inmediato para acceder. FIDO2 previene ese ataque gracias a la vinculación criptográfica de la clave con el sitio auténtico.
La clasificación es orientativa. Por ejemplo, un correo electrónico bien protegido puede ser más seguro que un número de teléfono vulnerable. El código TOTP y las notificaciones push con comprobación de número tampoco se pueden ordenar de forma inequívoca entre sí para todos los escenarios de ataque.
El Centro Nacional de Ciberseguridad del Reino Unido, en un estudio de 2026, confirmó que FIDO2 protege las cuentas personales de ataques comunes al menos tan bien como los métodos tradicionales de autenticación multifactor. El NIST de EE. UU., en el estándar SP 800-63B-4, señala por separado que los códigos de un solo uso tradicionales no ofrecen resistencia al phishing.
En qué se diferencian FIDO2, Passkeys, aplicaciones autenticadoras y SMS
| Método 2FA | Ventajas | Inconvenientes | Fiabilidad |
|---|---|---|---|
| Clave de seguridad FIDO2 | Protege contra el phishing; la clave secreta no abandona el dispositivo | Es necesario comprar y guardar una clave física | Muy alta |
| Passkeys | Protección contra el phishing; acceso cómodo mediante biometría o PIN | Dependencia de la seguridad del dispositivo y del almacenamiento de claves | Muy alta |
| Aplicación TOTP | Funciona sin internet ni SMS | El código puede ser robado mediante phishing | Alta |
| Notificaciones push | Confirmación rápida del inicio de sesión | Riesgo de aprobación accidental, especialmente sin comprobación de número | Media o alta |
| Códigos SMS | No se necesita una aplicación aparte | Reemplazo de SIM, interceptación de códigos, phishing | Limitada |
| Códigos por correo electrónico | Accesibles a través del buzón de correo | El acceso al correo permite obtener los códigos | Depende de la seguridad del correo |
Cómo elegir y configurar una autenticación de dos factores fiable
Para el usuario habitual, una opción óptima serán las Passkeys si el servicio admite esta tecnología. Para cuentas especialmente importantes, sobre todo laborales y administrativas, es sensato usar claves de seguridad FIDO2. Si ambas opciones no están disponibles, servirá una aplicación con códigos de un solo uso.
Normalmente puede configurar la protección a través de la sección de seguridad de la cuenta:
- Abra la configuración del servicio → «Seguridad» → «Autenticación de dos factores», «Verificación en dos pasos» o «Claves de acceso».
- Seleccione Passkeys, una clave de seguridad o aplicación autenticadora entre las opciones disponibles.
- Siga las instrucciones del servicio. Para TOTP suele ser necesario escanear un código QR e introducir el código generado.
- Guarde los códigos de recuperación en un lugar seguro y separado del dispositivo que usa para iniciar sesión.
- Añada un método de respaldo y asegúrese de que podrá restaurar el acceso en caso de pérdida del teléfono o de la clave.
- Compruebe si puede desactivar métodos de respaldo menos seguros, sobre todo SMS, si ya no son necesarios.
Una autenticación de dos factores fiable no garantiza protección completa. El malware puede robar sesiones activas, y los estafadores pueden atacar el procedimiento de recuperación de acceso. Por eso conviene proteger el dispositivo, actualizar el software, revisar las sesiones activas y no aprobar solicitudes de inicio desconocidas.
Preste especial atención al correo principal. A través del buzón a menudo se puede restaurar el acceso a otras cuentas. Para aplicaciones bancarias, Gosuslugi y servicios similares, elija la opción más fiable que ofrezca cada sistema. No todos los servicios permiten cambiar el método de autenticación por cuenta propia.
Preguntas y respuestas
¿Qué es más fiable, SMS o Google Authenticator?
Google Authenticator con códigos TOTP suele ser más fiable que SMS, ya que no depende del número de teléfono y no es vulnerable a ataques por reemplazo de SIM. No obstante, el código de la aplicación todavía puede ser robado mediante un sitio de phishing.
¿Qué es más seguro, Passkeys o una aplicación autenticadora?
Las Passkeys son más seguras frente al phishing. El mecanismo criptográfico verifica la autenticidad del sitio, por lo que el estafador no podrá usar la clave de acceso en una página falsa como podría hacerlo con un código TOTP.
¿Se puede hackear una cuenta con autenticación de dos factores?
Sí. Pueden darse el robo de sesiones por malware, ataques al proceso de recuperación de acceso, compromiso del dispositivo o engaños al usuario. La autenticación de dos factores reduce significativamente el riesgo, pero no elimina todas las vías de ataque.
¿Se considera la huella dactilar autenticación de dos factores?
La huella dactilar por sí sola no constituye una autenticación de dos factores completa. Pero la verificación biométrica junto con una clave criptográfica protegida en el dispositivo puede proporcionar dos factores independientes.
¿Qué hacer si pierde el teléfono con la aplicación autenticadora?
Utilice los códigos de recuperación guardados con antelación, una clave de repuesto o algún otro método registrado. Si no hay opciones disponibles, contacte con el soporte oficial del servicio. Recuperar los secretos TOTP sin copia de seguridad suele ser imposible.
¿Se pueden habilitar varios métodos de autenticación de dos factores?
Sí, si el servicio admite varios métodos. Por ejemplo, se pueden registrar dos claves de seguridad o añadir un autenticador de respaldo. Pero un método de respaldo débil y accesible para el atacante puede disminuir la seguridad global de la cuenta.
¿Qué autenticación de dos factores funciona sin internet?
Las aplicaciones TOTP pueden generar códigos sin conexión a internet ni red móvil. Las claves de seguridad FIDO2 tampoco necesitan una conexión por sí mismas, aunque el servicio suele requerir red para verificar el inicio de sesión.
Conclusión
Para la máxima protección elija una clave de seguridad FIDO2 con verificación del propietario. Para el uso cotidiano las Passkeys son una buena opción. Si el servicio solo ofrece autenticación de dos factores tradicional, prefiera una aplicación con códigos o la confirmación push con comprobación de número. SMS y correo electrónico conviene reservarlos para los casos en que no haya alternativas más fiables. Aplique medidas de protección a sus propias cuentas y cumpla la legislación de la Federación de Rusia.
