Tu contraseña ya no es suficiente: protege tus cuentas con una segunda llave

Una contraseña puede ser larga, única y difícil de adivinar, pero aun así terminar expuesta. Puede aparecer en una filtración, ser capturada mediante una página falsa o entregarse por error a alguien que suplanta a un proveedor. La autenticación multifactor, conocida como MFA, agrega una segunda comprobación antes de permitir el acceso y reduce la posibilidad de que una contraseña robada sea suficiente.

MFA combina elementos de categorías distintas: algo que sabes, como una contraseña o PIN; algo que tienes, como un teléfono, una aplicación autenticadora o una llave física; y algo que eres, como tu rostro o huella digital. Usar dos contraseñas no cuenta como dos factores porque ambas pertenecen a la misma categoría. La protección adicional aparece cuando el acceso exige pruebas diferentes.

No todos los métodos ofrecen la misma resistencia. Un código enviado por SMS es preferible a depender únicamente de una contraseña, pero puede quedar expuesto mediante engaños, duplicación fraudulenta de la tarjeta SIM o interceptación. Una aplicación autenticadora evita depender de la red telefónica, aunque sus códigos todavía pueden ser capturados por un sitio de phishing si la persona los escribe allí.

Las passkeys o llaves de acceso utilizan criptografía para vincular el inicio de sesión con el sitio o aplicación correctos. Normalmente se desbloquean en el dispositivo con huella, reconocimiento facial o PIN. Como no obligan a escribir una contraseña o código que pueda copiarse en una página falsa, ofrecen una defensa más sólida frente al phishing cuando están correctamente implementadas. También existen llaves físicas de seguridad basadas en estándares FIDO/WebAuthn.

La prioridad no debe ser activar todo al azar. Empieza por el correo electrónico, porque suele permitir recuperar las demás cuentas. Continúa con banca y servicios financieros, almacenamiento en la nube, redes sociales, administradores de dominios, plataformas de trabajo y cualquier cuenta con privilegios administrativos. En una empresa, protege primero a quienes gestionan pagos, datos, infraestructura o comunicaciones públicas.

Antes de activar MFA, prepara la recuperación. Registra más de un método cuando el servicio lo permita, descarga los códigos de respaldo y guárdalos fuera del correo o dispositivo que protegen. Revisa que el número telefónico y el correo de recuperación sigan bajo tu control. Perder el teléfono no debería significar perder definitivamente la cuenta ni depender de un procedimiento improvisado.

Ninguna persona legítima necesita que le dictes un código de verificación. Si alguien llama, escribe o envía un mensaje solicitándolo, interrumpe la conversación y entra directamente a la aplicación o sitio oficial. Tampoco apruebes notificaciones de acceso que no hayas iniciado: una sucesión de avisos puede ser un intento de cansarte hasta conseguir una autorización accidental.

Tu checklist inmediato es sencillo: identifica tus cinco cuentas más importantes; activa el método más fuerte disponible; prefiere passkeys o llaves de seguridad, después aplicaciones autenticadoras y, si no existe otra alternativa, SMS; conserva códigos de recuperación; elimina dispositivos antiguos; y revisa periódicamente las sesiones abiertas. La meta no es prometer una cuenta imposible de vulnerar, sino hacer que una credencial robada deje de ser una puerta abierta.