Una contraseña puede ser larga, única y difícil de adivinar.
Y aun así puede terminar en manos de otra persona.
Puede ocurrir mediante phishing, una filtración, malware, reutilización de credenciales o ingeniería social.
Por eso proteger una cuenta online ya no debería consistir únicamente en elegir una buena contraseña.
Necesitamos varias capas.
Entre ellas aparecen la autenticación en dos pasos, las aplicaciones autenticadoras, las llaves físicas de seguridad y, cada vez con mayor frecuencia, las passkeys.
Pero estas tecnologías no ofrecen exactamente la misma protección.
Un código enviado por SMS es mejor que depender solamente de una contraseña en muchos escenarios, pero no tiene las mismas propiedades de seguridad que una credencial FIDO resistente al phishing.
En esta guía veremos cómo proteger tus cuentas online, qué diferencia existe entre los principales métodos de autenticación y qué deberías revisar antes de depender completamente de una passkey o de cualquier otro sistema.
La contraseña ya no debería ser tu única defensa
Una contraseña es un secreto que conoces.
El problema es que ese secreto puede copiarse.
Si escribes tu contraseña en una página falsa, el atacante puede recibir exactamente lo mismo que utilizas para entrar en la página auténtica.
NIST señala expresamente que las contraseñas no son resistentes al phishing.
Por eso añadir otra capa de autenticación puede reducir considerablemente el riesgo de que una contraseña comprometida sea suficiente para entrar en una cuenta.
¿Qué es la autenticación en dos pasos?
La autenticación en dos pasos, conocida frecuentemente como 2FA, exige una comprobación adicional al iniciar sesión.
En términos más amplios también hablamos de autenticación multifactor o MFA.
Los factores suelen agruparse en categorías como:
- algo que sabes: una contraseña o PIN;
- algo que tienes: un teléfono, aplicación o llave de seguridad;
- algo que eres: determinadas características biométricas utilizadas dentro de un sistema de autenticación.
La idea es evitar que conocer una contraseña sea suficiente para acceder.
2FA y MFA: ¿son exactamente lo mismo?
Los términos suelen utilizarse de forma parecida, pero no son idénticos conceptualmente.
2FA implica dos factores o pasos de autenticación.
MFA es el término más general para sistemas que utilizan múltiples factores.
En las interfaces de servicios online puedes encontrar nombres como:
- verificación en dos pasos;
- autenticación de dos factores;
- 2FA;
- MFA;
- autenticación multifactor.
Lo importante no es solamente el nombre.
También importa qué tecnología utiliza el método.
No todas las formas de 2FA son igual de resistentes
Esta distinción es fundamental.
CISA recomienda utilizar la opción de MFA más fuerte disponible y avanzar hacia métodos resistentes al phishing.
Entre los mecanismos habituales encontramos:
- códigos enviados por SMS;
- códigos enviados por correo;
- aplicaciones autenticadoras con códigos temporales;
- notificaciones push;
- llaves físicas de seguridad;
- credenciales FIDO y passkeys.
Cada uno tiene ventajas y limitaciones diferentes.
Códigos por SMS
Con este sistema introduces tu contraseña y recibes un código por mensaje de texto.
Es sencillo y ampliamente disponible.
La FTC señala que si un código por SMS o correo es la única segunda opción disponible, utilizarlo sigue siendo mejor que no añadir esa protección.
Pero existen métodos más fuertes.
Entre los riesgos de SMS se encuentran ataques relacionados con el número telefónico, además de phishing donde la víctima entrega voluntariamente el código.
Por eso CISA sitúa los códigos por texto o correo entre las opciones más débiles de MFA.
Aplicaciones autenticadoras
Una aplicación autenticadora puede generar códigos temporales sin depender de que el código llegue mediante SMS.
Eso evita algunos riesgos asociados con el número telefónico.
La FTC considera que una aplicación autenticadora es más segura que recibir el código mediante texto o correo cuando esas son las alternativas disponibles.
Pero existe una precisión importante.
Un código que tú lees y escribes manualmente puede seguir siendo robado mediante phishing.
NIST indica que los sistemas OTP con introducción manual no se consideran resistentes al phishing.
¿Cómo puede robarse un código de autenticación?
Imagina que visitas una página falsa que imita perfectamente el inicio de sesión de un servicio.
Introduces:
- tu usuario;
- tu contraseña;
- el código generado por tu aplicación.
Un atacante puede intentar retransmitir esa información al servicio real mientras el código continúa siendo válido.
Por eso “tener 2FA” y “ser resistente al phishing” no significan exactamente lo mismo.
Notificaciones push
Algunos sistemas envían una notificación al teléfono para aprobar un inicio de sesión.
Son cómodos, pero debes leer cuidadosamente qué estás aprobando.
Si recibes una solicitud que no iniciaste:
no la apruebes.
Las implementaciones que utilizan coincidencia de números pueden ofrecer mejores defensas frente a ataques basados en bombardear al usuario con solicitudes de aprobación.
CISA recomienda esta clase de mejora como paso intermedio cuando todavía no puede utilizarse autenticación resistente al phishing.
¿Qué es una passkey?
Una passkey es una credencial de autenticación basada en los estándares FIDO.
En lugar de depender de una contraseña que debes recordar y enviar al servicio, utiliza criptografía de clave pública.
Normalmente puedes autorizar el acceso utilizando el mismo mecanismo con el que desbloqueas tu dispositivo, como:
- huella;
- reconocimiento facial;
- PIN;
- patrón;
- otro mecanismo local compatible.
FIDO Alliance describe las passkeys como credenciales criptográficas diseñadas para sustituir contraseñas y proporcionar autenticación resistente al phishing.
¿Cómo funciona una passkey?
La explicación técnica completa puede ser compleja, pero el principio básico es sencillo.
Al registrar una passkey se utilizan claves criptográficas relacionadas entre sí.
Una parte puede ser conocida por el servicio.
La clave privada permanece bajo el control del autenticador del usuario.
Cuando inicias sesión, el sistema demuestra criptográficamente que controla la credencial correcta sin enviar una contraseña reutilizable al sitio.
Esto cambia radicalmente el problema del phishing.
¿Por qué una passkey resiste mejor el phishing?
Una contraseña puede escribirse accidentalmente en el sitio equivocado.
Un código OTP también puede copiarse en una página falsa.
Una autenticación basada correctamente en FIDO/WebAuthn puede vincular criptográficamente la operación con el servicio legítimo.
NIST reconoce WebAuthn, utilizado por FIDO2, como ejemplo de autenticación resistente al phishing mediante vinculación con el nombre del verificador.
En términos prácticos:
el sistema no depende únicamente de que tú detectes visualmente que estás ante una página falsa.
¿Passkey significa reconocimiento facial?
No.
Esta confusión es común.
Tu huella, rostro o PIN pueden utilizarse localmente para desbloquear el acceso a la credencial almacenada en tu dispositivo.
Eso no significa necesariamente que el sitio web reciba tu huella o una fotografía de tu cara.
La biometría puede actuar como mecanismo local para autorizar el uso de la passkey.
¿Una passkey es simplemente una contraseña guardada?
No.
Una contraseña almacenada en un gestor continúa siendo una contraseña.
Una passkey utiliza un mecanismo criptográfico diferente.
FIDO explica que las passkeys utilizan pares de claves criptográficas y no dependen de un secreto compartido reutilizable como ocurre con las contraseñas tradicionales.
Passkeys sincronizadas y vinculadas a un dispositivo
No todas las passkeys se administran de la misma manera.
FIDO distingue principalmente entre:
Passkeys sincronizadas
Pueden almacenarse mediante un proveedor de passkeys y sincronizarse entre los dispositivos del usuario.
Esto facilita cambiar de teléfono o utilizar varios dispositivos.
Passkeys vinculadas a un dispositivo
Permanecen vinculadas a un autenticador concreto.
Una llave física de seguridad puede utilizar credenciales de este tipo.
La elección adecuada depende del nivel de riesgo, facilidad de recuperación y contexto de uso.
¿Son seguras las passkeys sincronizadas?
FIDO Alliance indica que la sincronización de passkeys utiliza cifrado de extremo a extremo y que los proveedores deben aplicar protecciones fuertes a las cuentas que gestionan esas credenciales.
Sin embargo, esto introduce otra consideración:
la seguridad y recuperación de tu proveedor de passkeys pasan a ser importantes.
Antes de depender exclusivamente de una configuración, entiende cómo recuperarías el acceso si pierdes tus dispositivos.
¿Las passkeys son infalibles?
No.
“Resistente al phishing” no significa “invulnerable a cualquier ataque imaginable”.
Una cuenta todavía puede enfrentarse a riesgos como:
- dispositivo comprometido;
- recuperación de cuenta débil;
- sesiones robadas;
- ingeniería social contra soporte;
- configuraciones incorrectas;
- otras rutas de acceso menos seguras que permanezcan activadas.
La seguridad de una cuenta debe evaluarse como un sistema completo.
La puerta trasera puede ser la recuperación de cuenta
Imagina una cuenta protegida con una excelente passkey.
Pero el mecanismo de recuperación permite restablecer el acceso utilizando un correo secundario débil.
Entonces el atacante puede intentar evitar la passkey y atacar la recuperación.
Por eso debes revisar:
- correo de recuperación;
- teléfono de recuperación;
- dispositivos autorizados;
- códigos de recuperación;
- sesiones abiertas;
- métodos alternativos de inicio de sesión.
Los códigos de recuperación son importantes
Algunos servicios proporcionan códigos de recuperación para utilizar cuando pierdes acceso al método habitual.
Trátalos como secretos.
No los guardes en un lugar público ni los envíes a personas que afirman ser soporte.
Si un atacante consigue un mecanismo de recuperación válido, podría evitar otras capas de protección.
¿Qué pasa si pierdo mi teléfono?
Depende de cómo esté configurada tu autenticación.
Una passkey sincronizada puede volver a estar disponible al recuperar de forma segura el acceso al proveedor correspondiente y configurar otro dispositivo.
Una credencial vinculada exclusivamente a un dispositivo puede requerir un autenticador alternativo o el proceso de recuperación del servicio.
Por eso es recomendable configurar la recuperación antes de perder el dispositivo.
¿Necesito una llave física de seguridad?
No todas las personas necesitan una llave física.
Pero puede ser especialmente útil para:
- cuentas administrativas;
- personas con alto riesgo de ataques dirigidos;
- empresas;
- periodistas;
- personas que manejan información sensible;
- cuentas críticas donde se desea autenticación resistente al phishing vinculada a hardware.
CISA sitúa las llaves físicas de seguridad entre las opciones más fuertes de autenticación frente al phishing.
¿Qué método debería elegir?
Como regla práctica, utiliza el método más fuerte que el servicio soporte y que puedas gestionar correctamente.
Un orden orientativo para muchas cuentas sería:
- passkey o autenticación FIDO resistente al phishing, cuando esté disponible;
- llave física de seguridad para escenarios que lo justifiquen;
- métodos fuertes de autenticación mediante aplicación cuando FIDO no esté disponible;
- códigos OTP mediante aplicación;
- SMS o correo si son las únicas opciones adicionales disponibles.
La implementación concreta importa, por lo que no debe interpretarse esta lista como una clasificación universal para todos los sistemas posibles.
SMS sigue siendo mejor que nada en muchos casos
No deberíamos transformar una recomendación de seguridad en un mensaje contraproducente.
Si una cuenta solamente ofrece contraseña o contraseña más SMS, activar SMS añade una barrera adicional frente a numerosos ataques basados únicamente en contraseñas robadas.
La FTC resume la idea de forma práctica: si texto o correo es la única opción disponible, es mejor utilizarla que quedarse sin segunda capa.
Después puedes migrar a un método más fuerte cuando el servicio lo permita.
Protege primero las cuentas que controlan las demás
No todas tus cuentas tienen el mismo impacto.
Empieza por:
- correo electrónico principal;
- cuenta del proveedor de identidad o ecosistema del dispositivo;
- banca y servicios financieros;
- gestor de contraseñas;
- cuentas laborales;
- redes sociales importantes;
- servicios que almacenan información sensible.
Tu correo merece atención especial porque muchos servicios envían allí enlaces de recuperación.
Usa contraseñas únicas cuando todavía sean necesarias
Las passkeys todavía no han sustituido las contraseñas en todos los servicios.
Cuando necesites una contraseña, evita reutilizarla.
La reutilización permite que una credencial filtrada en un servicio sea probada contra otros.
Un gestor de contraseñas puede ayudarte a crear y almacenar credenciales diferentes.
¿Hay que cambiar las contraseñas periódicamente?
No deberías cambiar una contraseña fuerte simplemente siguiendo un calendario arbitrario si no existe otra razón y el servicio no lo exige por una política específica.
NIST desaconseja exigir cambios periódicos de contraseña salvo que exista evidencia de compromiso.
Los cambios frecuentes pueden empujar a las personas hacia patrones predecibles.
Es más importante utilizar contraseñas únicas, suficientemente largas y cambiar inmediatamente las que se sepan o sospechen comprometidas.
¿Necesito números, símbolos y mayúsculas obligatoriamente?
Las políticas modernas de contraseñas están alejándose de reglas rígidas de composición.
NIST indica que los verificadores no deberían imponer reglas de composición adicionales del tipo “una mayúscula + un símbolo + un número”.
La longitud y evitar contraseñas comunes o comprometidas resultan más relevantes que convertir una palabra corta en una variante predecible.
¿Cuánto debe medir una contraseña?
Las recomendaciones dependen del contexto.
La versión actual de NIST SP 800-63B exige a los verificadores que las contraseñas utilizadas como único factor tengan un mínimo de 15 caracteres y permite un mínimo de 8 cuando se utilizan dentro de determinados procesos multifactor.
Eso no significa que todos los sitios de Internet apliquen esas reglas.
Para el usuario, la conclusión práctica es preferir contraseñas largas y únicas cuando siga siendo necesario utilizarlas.
Revisa las sesiones abiertas
Una contraseña nueva no siempre expulsa automáticamente todas las sesiones existentes.
Después de un posible compromiso revisa, cuando el servicio lo permita:
- dispositivos conectados;
- sesiones activas;
- ubicaciones aproximadas;
- aplicaciones autorizadas;
- tokens o accesos de terceros.
Cierra lo que no reconozcas.
Revisa los métodos de recuperación
Un atacante que consiguió acceso temporal puede intentar añadir su propio:
- correo;
- teléfono;
- dispositivo;
- método de autenticación;
- passkey.
Por eso cambiar solamente la contraseña puede no ser suficiente después de un compromiso.
No entregues códigos de verificación
La FTC recomienda no compartir códigos de verificación con una persona si tú no iniciaste el contacto.
Un supuesto representante de soporte puede intentar convencerte de que necesita el código para “confirmar tu identidad”.
En realidad, el atacante puede estar intentando iniciar sesión en ese mismo momento.
Un código de autenticación debe utilizarse únicamente dentro del proceso legítimo que tú iniciaste.
¿Qué es el phishing resistente a MFA?
Algunos ataques intentan robar no solamente la contraseña, sino también el segundo factor.
Por ejemplo, una página falsa puede recibir tu contraseña y pedir inmediatamente el código OTP.
Por eso la industria distingue entre MFA tradicional y autenticación resistente al phishing.
NIST explica que los métodos basados en introducción manual de OTP no satisfacen esa propiedad porque un verificador impostor puede retransmitir el código al servicio legítimo.
WebAuthn/FIDO aborda este problema mediante autenticación criptográficamente vinculada al verificador.
Passkeys y phishing
Esta relación conecta directamente con nuestra guía anterior.
En cómo reconocer phishing creado o mejorado con inteligencia artificial explicamos que las páginas falsas pueden parecer prácticamente idénticas a las auténticas.
Las passkeys aportan una ventaja importante precisamente porque su seguridad no depende solamente de que el usuario reconozca visualmente la página falsa.
Qué hacer si recibes una notificación de acceso que no iniciaste
- no la apruebes;
- no entregues ningún código;
- entra al servicio mediante la aplicación o dirección auténtica;
- revisa la actividad de la cuenta;
- cambia credenciales si existe evidencia de compromiso;
- revisa los métodos de autenticación registrados.
Una solicitud inesperada puede significar que alguien ya conoce tu contraseña.
Qué hacer si tu contraseña apareció en una filtración
Si utilizabas esa contraseña en la cuenta afectada:
- cámbiala;
- cámbiala también en cualquier otro servicio donde la reutilizaste;
- activa MFA o una passkey;
- revisa actividad reciente;
- comprueba métodos de recuperación.
La prioridad es eliminar la reutilización.
Qué hacer si caíste en phishing
Si introdujiste tus credenciales en un sitio falso, actúa desde el servicio auténtico.
Dependiendo de lo entregado:
- cambia la contraseña;
- revisa sesiones;
- comprueba MFA;
- elimina métodos desconocidos;
- revisa correo y teléfono de recuperación;
- protege otras cuentas con credenciales reutilizadas.
Si entregaste información financiera, contacta además a la entidad correspondiente.
¿Debo eliminar métodos antiguos después de activar una passkey?
Primero asegúrate de entender cómo recuperarás la cuenta.
Una cuenta puede permitir una passkey pero conservar métodos alternativos más débiles.
Eso puede ser necesario para recuperación, pero también puede convertirse en otra ruta de ataque.
Revisa las opciones disponibles y elimina métodos que ya no necesites cuando puedas hacerlo sin dejarte sin una vía segura de recuperación.
Una estrategia práctica en diez minutos
Empieza por tu correo principal.
- revisa la contraseña;
- confirma que no la reutilizas;
- activa la opción de autenticación más fuerte disponible;
- si ofrece passkey, estudia y configura esa opción;
- revisa dispositivos conectados;
- revisa correo y teléfono de recuperación;
- genera y guarda de forma segura códigos de recuperación si existen;
- elimina sesiones o métodos que no reconozcas.
Después repite el proceso con tus cuentas más importantes.
Una estrategia para empresas
Las organizaciones deberían priorizar autenticación fuerte especialmente para:
- administradores;
- correo corporativo;
- acceso remoto;
- sistemas financieros;
- cuentas con información sensible.
CISA recomienda que las empresas aspiren a utilizar MFA resistente al phishing y que comiencen por cuentas administrativas y empleados que manejan información sensible.
No conviertas la seguridad en una sola tecnología
Passkeys, MFA y llaves físicas son herramientas importantes.
Pero todavía necesitas:
- mantener software actualizado;
- reconocer intentos de phishing;
- proteger la recuperación;
- revisar sesiones;
- limitar accesos innecesarios;
- mantener seguros tus dispositivos.
Una cuenta segura depende de varias capas.
La siguiente pieza del sistema: gestores de contraseñas
Aunque las passkeys están creciendo, todavía utilizamos numerosas cuentas basadas en contraseñas.
Memorizar una contraseña larga y diferente para cada servicio no escala bien.
Por eso en nuestra siguiente guía veremos qué es un gestor de contraseñas, cómo funciona y qué revisar antes de elegir uno.
Checklist para proteger una cuenta importante
- Contraseña única si todavía es necesaria.
- Passkey o MFA activada cuando esté disponible.
- Método resistente al phishing si el servicio lo ofrece.
- Correo de recuperación protegido.
- Teléfono de recuperación actualizado.
- Códigos de recuperación almacenados de forma segura.
- Sesiones desconocidas eliminadas.
- Dispositivos autorizados revisados.
- Aplicaciones de terceros revisadas.
- Software del dispositivo actualizado.
Conclusión
Proteger una cuenta online ya no consiste solamente en inventar una contraseña complicada.
Las contraseñas pueden robarse mediante phishing y reutilizarse después.
La autenticación en dos pasos añade una barrera importante, pero no todos sus métodos ofrecen la misma resistencia.
Los códigos SMS pueden aportar protección adicional cuando son la única opción disponible. Las aplicaciones autenticadoras evitan algunos riesgos del SMS, pero los códigos OTP introducidos manualmente todavía pueden ser capturados mediante phishing.
Las passkeys y otras implementaciones FIDO cambian el modelo al utilizar criptografía vinculada al servicio, proporcionando una defensa mucho más fuerte frente a páginas falsas.
Pero ninguna tecnología elimina la necesidad de proteger la recuperación, los dispositivos y las sesiones.
Empieza por las cuentas que controlan las demás.
Protege primero tu correo, activa la autenticación más fuerte que puedas gestionar correctamente y asegúrate de saber cómo recuperar el acceso antes de necesitar hacerlo.
Preguntas frecuentes sobre 2FA y passkeys
¿Qué es la autenticación en dos pasos?
Es un sistema que exige una comprobación adicional para acceder a una cuenta en lugar de depender únicamente de una contraseña.
¿Es seguro recibir códigos por SMS?
Añade protección frente a muchos ataques basados solamente en contraseñas, pero existen métodos más fuertes. Si SMS es la única segunda opción disponible, sigue siendo preferible a depender únicamente de la contraseña.
¿Una aplicación autenticadora es resistente al phishing?
Los códigos OTP que se leen y escriben manualmente no se consideran resistentes al phishing según NIST, porque pueden introducirse en una página falsa y retransmitirse.
¿Qué es una passkey?
Es una credencial criptográfica basada en estándares FIDO que puede sustituir la contraseña y normalmente se autoriza utilizando el mecanismo de desbloqueo del dispositivo.
¿Las passkeys son resistentes al phishing?
Las passkeys basadas correctamente en FIDO utilizan autenticación criptográfica vinculada al servicio y están diseñadas para ofrecer resistencia al phishing.
¿Mi huella se envía al sitio cuando utilizo una passkey?
La biometría puede utilizarse localmente para autorizar el uso de la credencial en el dispositivo; no equivale a enviar tu huella o fotografía al sitio como contraseña.
¿Qué ocurre si pierdo el dispositivo que contiene mis passkeys?
Depende de si las credenciales están sincronizadas, vinculadas a un dispositivo y de los mecanismos de recuperación configurados. Debes revisar esas opciones antes de depender exclusivamente de un método.
¿Necesito seguir usando un gestor de contraseñas?
Puede seguir siendo útil mientras tengas servicios que dependan de contraseñas. Algunos gestores también pueden administrar passkeys.
¿Debo cambiar mis contraseñas todos los meses?
No como regla general. NIST desaconseja exigir cambios periódicos arbitrarios salvo que exista evidencia de compromiso. Es más importante utilizar credenciales largas y únicas y cambiarlas cuando se hayan comprometido.